Fui chamado pra ver por que um site estava fora do ar e abri uma caixa de Pandora

Fui chamado pra ver o porquê um site estava fora do ar e abri uma caixa de Pandora

A tarefa aparentemente era simples, site fora do ar, código de erro assim que entrasse, mas quase nunca é simples né?

Tudo começou quando uma querida do marketing me disse que o site de um cliente estava fora do ar, e a campanha tinha pausado.

Fiquei sabendo, e ao abrir o site, uma tela preta com a seguinte mensagem: “Esta implementação está temporariamente suspensa.” Até aí tudo bem, só a frase já é uma boa pista, e logo abaixo um código de erro. É o código HTTP de “Payment Required”, pagamento pendente. O site não tinha quebrado, tinha s sido desligado por falta de pagamento. O que já é estranho, afinal é um site institucional, sem banco de dados, sem back-end, qual o motivo do cliente estar pagando se existem opções gratuitas disso, como Cloudflare?

Mas “beleza”. O cliente deve ter esquecido de pagar, deve ter dado problema no cartão… O básico de sempre. Até receber um print: Um pagamento de US$ 653 para a Vercel tinha sido recusado!

Imagine ter um site institucional onepage e pagar isso num mês de hospedagem??

Segunda pista: a fatura que não fazia o menor sentido

Fui lá, entrei na conta e osite em si tinha gastado um centavo de dólar em transferência de dados. Um centavo. O restante vinha de um item chamado Sandbox Provisioned Memory, que passava de US$ 1.100. Pra quem não conhece, o Sandbox é um serviço da Vercel que sobe máquinas virtuais para rodar código, usado por agentes de IA e ferramentas de desenvolvimento. De longe, um site institucional não precisa disso.

Investiguei a cronologia das faturas. A conta da vercel começou como plano gratuito, até dia 9 de outubro. Nesse dia alguém mudou o para o plano pago e no mesmo dia apareceu um projeto chamado “vercel-sandbox-default-project”, sem nenhum repo conectado. Em dois dias lá se foram mais de mil trumps de uso. O cartão estranhou e recusou, no mesmo tempo a Vercel suspendeu a conta e o site foi junto.

A teoria errada (ou: o viés de confirmação ataca de novo)

Minha primeira teoria veio rápido, como o site tinha todo sido feito com IA, e o projeto não era lá uma maravilha de organização, pensei: “Ctz que alguma IA sugeriu ativar alguma coisa, a pessoa clicou em “pode fazer isso ai mesmo” sem entender o que tava escrito, e o sandbox ficou rodando lá no automático.

E fazia sentido, batia com tudo o que eu já sabemos que acontece hoje em dia com o boom das IAs. E foi exatamente por isso que eu devia ter desconfiado, estava muito óbvio.

Em abril eu escrevi que a IA não é a Oráculo do filme Matrix e que o viés de confirmação é cruel. Aqui eu estava fazendo a mesma coisa com uma hipótese: achei uma explicação que confirmava o que eu já acreditava e quase parei de procurar.

Aí veio a terceira pista.

Terceira pista: um login de oito meses atrás

O cliente encontrou um email de alerta da vercel, feita num login antigo pelo chrome num Widows e parada desde janeiro. Com IP de San José, Califórnia

Ninguém da equipe estava nos Estados Unidos, e ninguém tinha mexido na conta naquele dia, e ninguém usava VPN.

A ideia de IA fazendo cagada deu abertura para a possibilidade de uma invasão. Alguém pode ter pegado uma sessão nunca encerrada, entrou, pagou o plano, colocou máquinas pra rodar na conta do cliente e voilà: Tome um boletinho de 1100 trumps fora o IOF. (ahhh, Brasil 🥲)

Conversando com o cliente, a suspeita começou a ficar mais concreta, ele teve um notebook que sofreu invasão na mesma época. Um malware pode ter aproveitado a seção e fez o que fez. É igual deixar a chave na porta e sair de viagem por 8 meses

Então a IA (vulgo lovable) não tem nada a ver com isso?

Até que tem, ela com certeza não causou a invsão, mas está envolvida no motivo de niguém ter percebido isso.

• Um site institucional, que precisa de servidor simples, dentro de uma plataforma com cobrança por uso e cartão cadastrado. Plataforma essa usada pra criar aplicações complexas. Basicamente GAU-8/A Avenger pra matar mosca, com a fatura aberta para quem entrar.
• Um limite de gastos de US$ 200 configurado só para avisar, não para travar, eis o motivo da conta passar dos mil.
• Alertas e faturas indo para um e-mail que estava apenas sendo ignorado. Eis a receita perfeita

Quando fui auditar o problema, quando tive acesso ao github, dai sim a aixa de Pandora abriu de vez, tinha um sistema de recrutamento escondido, com cadastro de usuários, filtros de candidatos, notas internas, download de currículos e exportação em CSV. Uma seção de agendamento de retorno abandonada. Artigos ocultados por redirecionamentos. Banco de dados conectado sem uso. E sobras de template por todo lado. Ah, e imagens em .png pra completar 😊

Obviamente nada disso estava aparecendo no front-end, e o dono não sabia que existia, e quem fez provavelmente também estava no mesmo barco do dono.

Cenário típico que surgiu, meat-proxy. A IA vai sugerindo, a gente vai só aceitando, transportando informações de um canto para o outro sem de fato entender o que está por trás daquilo. Até que a fatura (literalmente) chega.

(A ironia é que eu usei IA para fazer essa auditoria. A diferença é que, dessa vez, alguém estava lendo o que ela dizia.)

O que eu fiz?

Abri um chamado na Vercel com as evidências da invasão, pedindo o cancelamento das faturas. Encerrei as sessões, revoguei os tokens e ativei a autenticação em dois fatores. E o site foi para a Cloudflare, numa hospedagem estática gratuita, do tamanho que o projeto precisa, conectado com github, tudo bem balanceado como tudo deve ser.

Checklist para quem constrói (ou contrata) com IA

1. Saiba o que tem no seu projeto. Liste páginas, rotas, integrações e bancos de dados. Se não souber, peça uma auditoria e leia o resultado.
2. Escolha a infraestrutura pelo tamanho do projeto. Site institucional não precisa de plataforma feita para aplicação complexa.
3. Trave o gasto, não só monitore. Se tem cartão cadastrado, configure um limite que pause, e não só um que avise.
4. Encerre sessões antigas e revise os tokens. Ative o 2FA, mas saiba que ele não protege contra uma sessão que já foi roubada.
5. Mande os alertas para um e-mail que alguém lê. Fatura que ninguém vê é fatura que ninguém contesta a tempo.
6. Saiba quem tem acesso a cada conta. Hospedagem, repositório, domínio e banco de dados.

Construir hoje em dia tá bem fácil

A IA é excelente pra construção, quem aí não gosta de deixar um vídeo rolando enquanto ela faz a parte pesada? 😂

Mas construir sempre foi a parte fácil, saber o que foi construído, onde está rodando, quem tem acesso e quanto isso pode custar continua sendo trabalho difícil, ou melhor, hoje em dia, trabalho humano.

No fim, esse caso não foi sobre Vercel, Lovable ou IA. Foi sobre o que sempre separa um projeto que funciona de uma caixa de Pandora: alguém que para para entender o problema antes de sair resolvendo.

Inclusive quando a primeira resposta parece boa demais para ser questionada.