Pentest: ache a falha antes do criminoso

Pentest, ou teste de intrusão, é um ataque simulado e autorizado contra os seus sistemas, feito por um especialista para encontrar vulnerabilidades antes que um criminoso as explore. Diferente de um scanner automático, ele reproduz o raciocínio de um atacante real, encadeando falhas e testando o que realmente dá acesso ao ambiente. O objetivo não é só listar problemas, mas mostrar o risco concreto e como corrigi-lo.

O scanner automático encontra falhas conhecidas em larga escala, o que é útil, mas ele não entende o contexto do seu negócio. O pentest vai além: um profissional avalia se aquelas falhas são realmente exploráveis, encadeia vulnerabilidades médias que juntas viram um acesso crítico e encontra brechas de lógica que nenhuma ferramenta detecta sozinha. Um complementa o outro, mas só o pentest mostra o risco real de um ataque humano.

São os níveis de informação que o testador recebe. No black box, ele parte do zero, como um atacante externo sem acesso, o que simula bem uma ameaça de fora. No gray box, recebe acesso parcial, credenciais de usuário comum ou alguma documentação, simulando um cliente, parceiro ou funcionário mal-intencionado, e é a modalidade mais usada por equilibrar realismo e profundidade. No white box, tem acesso total ao ambiente e ao código, permitindo a análise mais completa. A escolha depende do objetivo e do orçamento.

O trabalho é conduzido com cuidado justamente para evitar isso. Antes de começar, definimos em conjunto o escopo, os horários e os limites, e testes mais sensíveis, como os que poderiam afetar a disponibilidade, só são feitos com autorização expressa e, quando necessário, em ambiente de homologação. O objetivo é revelar o risco sem causar dano à operação, e a comunicação durante o projeto mantém tudo sob controle.

Um relatório em duas camadas. A executiva, em linguagem de negócio, mostra o risco geral, o impacto e as prioridades, feita para a diretoria decidir. A técnica descreve cada vulnerabilidade, como foi explorada, a evidência e o passo a passo da correção, feita para o time de TI agir. Entregamos ainda um plano de correção priorizado por criticidade e, na maioria dos casos, um reteste para confirmar que as falhas foram efetivamente resolvidas.

Depende do setor. Para instituições financeiras e de pagamento, as resoluções do Banco Central (como a Res. CMN nº 5.274/2025 e a Res. BCB nº 538/2025) passaram a exigir testes de intrusão periódicos por equipe independente, e o PCI DSS obriga pentest ao menos anual para quem lida com dados de cartão. Já a LGPD e a ISO 27001 não citam a palavra pentest, mas exigem medidas técnicas adequadas, e o teste é a forma prática de demonstrar essa diligência, especialmente diante da ANPD após um incidente.

A recomendação geral é ao menos uma vez por ano e sempre após mudanças significativas: um novo sistema, uma grande atualização, uma migração para a nuvem ou uma integração crítica. Ambientes que mudam muito ou que lidam com dados sensíveis se beneficiam de testes mais frequentes. A ideia é que o ambiente testado hoje pode ter novas brechas amanhã, então o pentest é um processo recorrente, não um evento único.

Praticamente toda a superfície digital: aplicações web e APIs, redes internas e externas, servidores e infraestrutura, ambientes em nuvem, aplicativos móveis, redes sem fio e até o fator humano, por meio de campanhas de phishing e engenharia social. O escopo é definido conforme o que é mais crítico para o seu negócio e conforme o objetivo, seja conformidade, seja a proteção de um ativo específico.

Apontar sem orientar a correção seria entregar meio serviço. Cada vulnerabilidade do relatório vem com a recomendação técnica de como resolvê-la, priorizada por criticidade, para que o time saiba por onde começar. Ficamos à disposição para esclarecer dúvidas durante a remediação e, ao final, o reteste confirma que as correções realmente fecharam as brechas.

A confidencialidade é absoluta. O trabalho é regido por contrato e acordo de sigilo, os dados acessados durante o teste são tratados com o máximo cuidado e as evidências são armazenadas de forma segura. Todo o serviço é autorizado formalmente pela empresa antes de começar, o que diferencia o hacking ético de uma invasão real: existe permissão, escopo e responsabilidade.

São parentes, mas com focos diferentes. O pentest busca encontrar o máximo de vulnerabilidades exploráveis em um escopo definido, dentro de um prazo. O red team é mais amplo e furtivo: simula um adversário real com um objetivo específico, testando também a capacidade de detecção e resposta da equipe de defesa. Muitas empresas começam pelo pentest e evoluem para exercícios de red team conforme sua maturidade cresce.

Não. Empresas de todos os tamanhos contratam pentest, inclusive as que não têm equipe de segurança dedicada. Nesses casos, o relatório é ainda mais valioso, porque traduz o risco em linguagem acessível e entrega um plano de ação claro sobre o que priorizar. O importante é dar o primeiro passo para enxergar as próprias vulnerabilidades antes que um atacante o faça.

Depende do escopo: o número de sistemas, aplicações e endereços a testar, a modalidade escolhida e a profundidade do trabalho. Um teste em uma única aplicação web é diferente de avaliar toda a infraestrutura de uma empresa. Após uma conversa inicial para entender o seu ambiente e objetivo, sem compromisso, enviamos uma proposta com escopo, prazo e valor fechados.