Pentest em aplicação web: o que o scanner não enxerga

É um ataque simulado e autorizado contra um site, sistema, portal ou API, para descobrir o que alguém consegue fazer ali sem permissão. O trabalho combina ferramentas e teste manual, usa referências como o guia de testes do OWASP (WSTG) e termina em relatório com evidência, classificação de risco, correção recomendada e reteste.

A varredura é automática e procura falhas conhecidas, como componente desatualizado e configuração ruim. O pentest aproveita esse resultado e acrescenta o que a ferramenta não faz: testar autorização entre usuários, burlar regra de negócio, encadear falhas e provar o impacto. Uma não substitui a outra, e o PCI DSS trata as duas como exigências separadas.

Sim, quando estão no escopo, e normalmente devem estar, porque boa parte das regras de uma aplicação fica na API. Usamos como referência o OWASP API Security Top 10:2023. Se a mesma API atende um aplicativo móvel, testamos a API. O aplicativo em si é um escopo à parte.

Para sistema com login, a caixa-cinza costuma ser a melhor escolha, porque permite testar se um usuário alcança o dado do outro. A caixa-preta mede o que alguém de fora alcança sem credencial. A caixa-branca cabe quando há acesso ao código e se busca a avaliação mais completa. A escolha depende do risco e do prazo, e é feita na definição do escopo.

Existe risco, e por isso combinamos janela, limites e contato de emergência antes de começar. Quando há homologação igual à produção, preferimos testar lá, mas parte da configuração só existe em produção. Teste de negação de serviço e qualquer ação que altere dado real só acontecem com autorização expressa.

Depende do risco e das regras que se aplicam a você. O PCI DSS pede pelo menos a cada 12 meses e depois de mudança significativa. O Banco Central pede periodicidade mínima anual para as instituições sujeitas à regra. Fora disso, faz sentido testar antes de lançar um sistema, depois de mudanças grandes e, como referência, uma vez por ano.

Depende do tamanho do que será testado: quantidade de perfis, rotas e chamadas de API, fluxos críticos, modalidade e ambiente. Por isso não publicamos tabela. Com o endereço do sistema e essas informações, dizemos o escopo, o prazo e o valor.

Sim, por escrito e de quem responde pelo sistema. O art. 154-A do Código Penal pune quem invade dispositivo informático alheio para obter, adulterar ou destruir dados sem autorização expressa ou tácita do usuário. Sem autorização, nada é executado. Se a aplicação roda em nuvem ou em fornecedor terceiro, vemos antes o que as regras dele permitem.

Por si só, não. Falha é uma fragilidade, e incidente é um evento que compromete dados pessoais. Se o teste encontrar sinais de que o dado já foi acessado por terceiros, o caso passa a ser tratado como possível incidente, com análise forense e avaliação da comunicação à ANPD e aos titulares (LGPD, art. 48, e Resolução CD/ANPD nº 15/2024).

Sim. Nossa base é Governador Valadares/MG, e o atendimento é remoto em todo o Brasil. O teste é feito pela internet ou, se a aplicação for interna, por um acesso combinado com a equipe do cliente.