Possível bug em vaga antiga impedindo testes da Suzano 2026

Olá, João. Boa tarde!

Compreendemos totalmente a urgência da sua solicitação e lamentamos muito pelo transtorno causado pelo bug em nosso sistema, que acabou vinculando seu perfil a um processo seletivo encerrado e travando a sua nova candidatura.

Gostaríamos de informar que nossa equipe técnica já realizou a limpeza e atualização do seu cadastro. Os seus testes para o Programa de Estágio Suzano 2026 já estão liberados e prontos para serem realizados em seu WhatsApp.

Também estamos investigando internamente o problema relatado sobre a rejeição de mensagens no e-mail de suporte e a indisponibilidade do chat, para garantir que essa falha de comunicação não afete você ou outros candidatos novamente.

Pedimos sinceras desculpas pelo inconveniente e pelo estresse que isso possa ter gerado em sua jornada. Caso tenha qualquer outra dificuldade de acesso, seguimos à sua disposição.

Desejamos muito sucesso e boa sorte nas próximas etapas do processo seletivo!

Atenciosamente,
Equipe 99jobs

Os testes apareceram, apesar disso, a nina ainda continua me mandando para um teste antigo da Boticário. outra detalhe EXTREMAMENTE IMPORTANTE, encontrei uma possível vulnerabilidade na plataforma de vocês.
Ao manipular os parâmetros da URL de cadastro da plataforma, é possível acessar diretamente a interface web de inscrição e a aba de realização de testes de uma vaga que deveria ser executada exclusivamente via WhatsApp.
O sistema aceita a inserção de qualquer número de telefone de terceiros e o vincula a um novo cadastro (gerado com CPF e e-mail aleatórios), sem exigir qualquer validação de fator de posse (como o envio de um código OTP via SMS ou WhatsApp) para confirmar que o criador da conta é o dono real daquele número.
Em testes subsequentes, identifiquei que o sistema permite a reutilização do mesmo número de telefone em múltiplas contas criadas sequencialmente via web (com CPFs e e-mails distintos). Ao realizar esse procedimento com um número que já havia passado pelo fluxo anterior, o comportamento do canal do WhatsApp foi alterado imediatamente, recebendo notificações de "testes liberados" correspondentes ao último cadastro realizado.

Isso indica que o sistema PODE TER realizado uma sobrescrita do vínculo do identificador (telefone) ou aceita duplicidade na tabela de usuários, respondendo sempre ao último registro modificado.
Caso, minha hipótese esteja certa, um atacante pode desvincular o número de telefone de um candidato legítimo que já está no meio de um processo seletivo. Ao fazer isso, o candidato real perde o controle do seu fluxo, e as respostas enviadas pelo WhatsApp podem ser computadas em um perfil falso controlado pelo atacante.
Recomendação de Correção
Validação de Posse (OTP): Implementar obrigatoriamente o envio de um código de verificação via SMS ou via API do WhatsApp no momento em que um número de telefone for cadastrado ou alterado pela interface web, impedindo a vinculação de números de terceiros sem autorização.

Restrição de Acesso a URLs de Testes: Validar rigorosamente na camada de backend se o usuário que está acessando as URLs específicas de testes web realmente passou pela autenticação correta e possui o token de sessão legítimo correspondente ao CPF do candidato cadastrado.
Fico à disposição para fornecer mais detalhes ou esclarecer qualquer dúvida que a equipe técnica possa ter para mitigar este problema.