115 respostas diretas para donos de plataforma que precisam de segurança.

A única forma confiável é com um pentest — teste de invasão feito por especialistas humanos, não apenas scanners automáticos. Scanners encontram bugs óbvios (versões desatualizadas, XSS triviais), mas falhas de lógica de negócio, vazamento entre clientes (BOLA) e chains de exploração só aparecem com análise manual. Se ninguém da sua equipe consegue te garantir que testou os 9 sinais comuns de plataforma vulnerável, você provavelmente precisa de auditoria externa.

Depende do que sua plataforma faz. Se você coleta dados pessoais (CPF, email, endereço, dados bancários), processa pagamento, ou tem clientes empresariais que dependem de você — sim, mesmo sendo pequena. Pequenas empresas são alvos preferenciais hoje justamente porque atacantes sabem que falta proteção. A boa notícia: pentest para empresa pequena começa em R$ 3.000–6.000, não R$ 30 mil.

Site institucional sem login, sem formulário sensível, sem dados de cliente: dispensável. Site com formulário de contato + integrações + painel admin: sim, mesmo que pareça simples — esses três pontos são onde vazamentos acontecem mais. Scanner básico cobre o site institucional puro; pentest é necessário a partir do momento em que você tem painel administrativo ou cadastro de cliente.

Para conformidade (PCI-DSS, ISO 27001, SOC 2), sim — pelo menos uma vez ao ano e após mudanças significativas no código. Para a LGPD, não há prazo fixo, mas pentest com mais de 12 meses começa a perder peso como evidência de medida técnica. Se sua plataforma muda código toda sprint, monitoramento contínuo + pentests focados é mais eficiente do que pentest anual único.

Sinais comuns: cobranças no cartão da empresa que não foram feitas, clientes reclamando de emails estranhos, picos de uso de recursos no servidor, alertas do banco sobre movimentação suspeita, ou pedido de resgate. Mas atacantes sofisticados ficam meses sem fazer barulho — só investigação forense ou pentest profundo descobre. Se sua plataforma não passou por auditoria nos últimos 12 meses, considere uma análise de comprometimento.

Vale, e a conta é simples: vazamento de dados em microempresa custa R$ 200 mil a R$ 1 milhão (multa ANPD + indenizações + perda de clientes). Pentest preventivo custa R$ 3 mil a R$ 9 mil. ROI de 30–100x. Microempresa com plataforma online é alvo preferido em 2026 justamente porque atacantes sabem que falta proteção.

Sim. Não é desconfiança — é boa prática. Quem construiu o sistema raramente enxerga as próprias falhas (cérebro do desenvolvedor foi calibrado para fazer aquilo funcionar, não para quebrar). Auditoria externa é como auditoria contábil: terceiro independente cobre o ponto cego natural. A ANPD inclusive valoriza explicitamente avaliação por terceiro independente em fiscalização.

Sim. AWS, Vercel, Hostinger e similares protegem a infraestrutura deles, não o seu código. Se sua aplicação tem bug de autorização (BOLA), bug de lógica de negócio, ou vazamento por API, esses provedores não detectam — porque está dentro do seu código, não na infra. Eles te dão TLS e proteção contra DDoS, mas não fazem pentest da sua aplicação.

Tecnicamente, sim — qualquer ferramenta open source (Burp Community, OWASP ZAP, Nuclei) está disponível. Na prática, raramente funciona: encontrar bugs de lógica de negócio exige 100–200h de pesquisador experiente, ferramentas proprietárias e mentalidade adversarial treinada em programas de bug bounty. Auto-pentest é como auto-cirurgia: tecnicamente possível, raramente boa ideia.

Pentest mostra o que quebra agora (lista de exploits funcionais hoje). Auditoria mostra o que vai quebrar depois (lista de fragilidades estruturais). Se você precisa de evidência rápida para cliente ou conformidade, pentest. Se você está reformulando arquitetura ou criando programa de segurança do zero, auditoria. Os dois se complementam.

Pentest (penetration test, ou teste de invasão) é contratar profissionais para tentar invadir sua plataforma de forma controlada — antes que atacantes reais tentem. O objetivo é encontrar vulnerabilidades, documentar como foram exploradas, e te entregar um relatório com o que precisa ser corrigido. É como contratar um cofreiro para tentar abrir o cofre da empresa antes do ladrão tentar.

Conceitualmente sim, mas o termo "hacker do bem" está datado e raramente é usado por empresas sérias em 2026. A linguagem moderna é pesquisador de segurança ou security researcher. "Hackers éticos" virou expressão de marketing — quando uma empresa de cibersegurança ainda usa o termo como slogan principal, é sinal de marketing antigo, não de tecnologia atual.

Scan de vulnerabilidade = ferramenta automatizada que detecta problemas conhecidos (~30–40% do trabalho real). Análise de código (SAST/code review) = leitura do código procurando padrões inseguros. Pentest = ataque humano com mentalidade adversarial, tentando exploits reais. Os três se complementam, mas só pentest profundo encontra falhas de lógica de negócio.

Blackbox = sem acesso ao código (atacante externo). Whitebox = com código + infraestrutura + documentação. Greybox = parcial (geralmente credenciais válidas + docs de API). Blackbox é mais barato (~70% da cobertura possível). Whitebox encontra mais bugs (~95%) e custa 30–50% mais. Para a maioria dos casos, greybox é o sweet spot.

Se for feito por empresa séria, não. Pentest profissional usa exploração controlada, sempre alinhada ao escopo. Testes destrutivos (DoS, SQL DROP, exclusão) só ocorrem em ambiente de homologação ou em janela de manutenção combinada. Em produção, validamos cada bug com PoC mínima — sem payloads que causem indisponibilidade.

Depende do escopo. Aplicação pequena (até 50 endpoints): 1–2 semanas. Sistema em produção com base ativa (até 200 endpoints): 3–4 semanas. Sistema enterprise com mobile e cloud: 6–8 semanas. Inclui reconhecimento, modelagem, exploração, validação e entrega de relatório. Recorrente mensal funciona em sprints contínuos.

Os dois — combinados. Pentest 100% automatizado (só scanner) cobre 30–40% das falhas e nenhuma de lógica de negócio. Pentest 100% manual seria caríssimo. O padrão é automação para descoberta + humano para análise adversarial. Quem promete "pentest 100% automatizado" está vendendo scanner com nome bonito.

OWASP Top 10 é a lista mais conhecida das 10 vulnerabilidades mais comuns em aplicações web (atualizada a cada 3 anos). Em 2026, está na versão 2021 (próxima atualização prevista). Cobrir o OWASP Top 10 é o piso, não o teto — pentest sério vai muito além, cobrindo classes que o OWASP não destaca (race conditions, OAuth state, SAML XSW, etc.).

São as três falhas mais comuns em APIs em 2026. BOLA = Broken Object Level Authorization (cliente A acessa dados do cliente B). BFLA = Broken Function Level Authorization (usuário comum executa função de admin). BOPLA = Broken Object Property Level Authorization (modifica campos sensíveis que não deveria). Estão nas posições 1, 5 e 3 do OWASP API Top 10.

Não. Bug bounty é programa público (ou privado por convite) onde a empresa permite que pesquisadores externos tentem encontrar bugs em troca de recompensa por achado. Pentest é serviço sob contrato com escopo, prazo, NDA e relatório formal. Pesquisadores que vencem bug bounty são frequentemente os mesmos que fazem pentests sérios — mas o formato comercial é totalmente diferente.

Primeiro contato → NDA bilateral em até 24h → call técnica de 30–60 min para mapear escopo → proposta formal em 3 dias úteis → após aceite e pagamento da entrada, início efetivo. Todo o processo pré-pentest leva geralmente 1 a 2 semanas, e o pentest em si começa apenas após escopo formal aceito.

Em pentest blackbox, não — atacamos pelo lado de fora como atacante externo. Em greybox, recebemos credenciais válidas de teste + documentação de API. Em whitebox, recebemos acesso ao código (geralmente via repositório read-only) e documentação de infraestrutura. O nível de acesso é definido em escopo antes do início.

Não a dados de produção. Pentest sério usa banco de dados de homologação ou contas de teste criadas especificamente para o projeto. Quando produção é necessária (raros casos), o escopo formal define exatamente quais dados são acessíveis e o NDA cobre tudo que for visto. Os dados nunca são copiados, exfiltrados ou armazenados fora da nossa infraestrutura.

Se for falha que pode causar impacto imediato (vazamento ativo, account takeover explorável remotamente), comunicamos imediatamente — antes mesmo do relatório final. Você é notificado, recomendamos uma mitigação temporária, e a falha vai para o relatório formal. Em casos extremos, pausamos o pentest para você corrigir antes de continuar.

Em PDF, com criptografia ou via portal seguro. Dois documentos: relatório executivo (3–5 páginas, linguagem de C-level) + relatório técnico (geralmente 30–80 páginas, linguagem de desenvolvedor). Mais sessão de readout ao vivo de 1–2h com seu time. Re-test após correção também é incluso.

Cada finding tem: ID, classe da vulnerabilidade, severidade (CVSS 4.0 + impacto de negócio), endpoint exato, request HTTP completo, payload, resposta, screenshot, passo a passo de reprodução, recomendação de correção com código de exemplo, e referências (CVE, OWASP, papers). Sumário executivo com top 3 achados em linguagem de C-level. Statement de conformidade alinhado a LGPD/SOC 2/ISO/PCI conforme aplicável.

Sim. Os relatórios são para uso interno do cliente. Podem ser compartilhados com auditoria, ANPD, Bacen, clientes enterprise que pediram evidência, e investidores em due diligence. Não podem ser republicados publicamente sem autorização (proteção da propriedade intelectual da metodologia). NDA bilateral cobre os dois lados.

Pesquisadores nomeados em proposta formal — você sabe quem específicamente vai atacar seu sistema, com portfolio público (achados em programas de bug bounty, CVEs, palestras). Nada de "equipe genérica". Se a empresa não te diz quem é, suspeite. Bons pesquisadores têm nome.

Sim, em etapas específicas: extração de superfície de ataque, taxonomia de código, geração de hipóteses de ataque ranqueadas. Mas toda hipótese é validada manualmente por um pesquisador antes de virar um achado. IA acelera o trabalho repetitivo; pessoa decide o que vira finding. Pentest 100% IA não existe — ou é mentira de marketing, ou cobertura rasa.

Sim, e geralmente é. Reuniões por Google Meet/Zoom, troca de documentos por portal seguro, comunicação por canal cifrado (Signal, Slack, Discord). Apenas em pentest físico (intrusão em data center, social engineering presencial) faz sentido deslocamento — e isso é raro.

Aplicações pequenas, MVPs e SaaS em validação: R$ 3.000 a R$ 6.000. Sistemas em produção com base ativa de clientes: R$ 6.000 a R$ 12.000. Pentest enterprise (whitebox completo, mobile, cloud): a partir de R$ 18.000. Recorrente mensal: a partir de R$ 1.500/mês. Cada caso recebe orçamento personalizado após escopo definido.

Por projeto. Cobrança por hora cria desalinhamento (consultor demora para faturar mais). Cobrança por projeto fechado obriga a empresa de pentest a entregar dentro do prazo combinado. Hora de pesquisador sênior, quando precificada à parte (consultoria pontual), está entre R$ 350 e R$ 800/h em 2026.

Porque é trabalho humano qualificado intensivo. Um pentest Growth (R$ 8 mil) consome 80–120 horas de pesquisador sênior, que custa R$ 25–35 mil/mês contratado. Mais o overhead: ferramentas próprias em desenvolvimento contínuo, infraestrutura de teste, validação por quality gates, sessão de readout, relatório executivo + técnico. Pentest barato é pentest superficial — você paga o mesmo no fim, em vazamento.

Sim. Planos pontuais aceitam até 3x sem juros. Planos recorrentes mensais já são cobrados mês a mês. Faturamento via NF-e (CNPJ obrigatório). Boletos, PIX ou transferência bancária — cartão de crédito por enquanto via maquininha somente para parcelas individuais.

Sim, sempre. CNPJ obrigatório do contratante. NF-e é emitida no fechamento de cada parcela. O serviço é classificado como consultoria técnica em segurança da informação e a empresa contratante geralmente consegue dedutibilidade fiscal (consulte seu contador).

Geralmente não. Pentest abaixo de R$ 3.000 costuma ser scanner automatizado com PDF formatado por cima — você paga por aparência, não por descoberta real. Lógica de negócio, BOLA, race conditions, OAuth state — não aparecem nesse formato. Quando uma falha real explode em produção depois, você paga 100x mais em multa, churn e correção emergencial.

Você recebe relatório atestando o escopo testado, metodologia aplicada e classes verificadas — entregável de conformidade válido para auditoria. Mas, na prática, quase nenhuma aplicação web em produção sai sem pelo menos 1 finding crítico ou alto. Em 8 anos de mercado brasileiro, nenhum pentest profundo voltou "limpo" para sistema com mais de 50 endpoints.

A partir de R$ 1.500/mês para Starter (monitoramento de superfície + 1 re-test mensal). Growth: R$ 3.500/mês (+ 2 pentests focados/mês + monitoramento CVE + alertas dark web). Enterprise: a partir de R$ 6.000/mês (pentest contínuo sprint-aligned + pesquisador dedicado + SLA 24h).

Sim. Fintech custa em média 30–50% mais por causa de cobertura adicional obrigatória (Bacen 4.893, PIX, Open Finance, KYC, fraude transacional) e exigência de relatório formatado para evidência regulatória. Setores não regulados (SaaS B2B comum, e-commerce sem cartão direto) ficam na faixa base.

Tecnicamente possível para clientes internacionais, mas exige acordo prévio em proposta. Para clientes brasileiros com CNPJ, preferimos faturamento em real com NF-e. Operações cross-border têm overhead jurídico/tributário que reflete em preço.

A LGPD não cita pentest pelo nome. Mas o Art. 46 exige medidas técnicas e administrativas aptas a proteger os dados pessoais. Em fiscalização da ANPD, pentest documentado dos últimos 12 meses é uma das poucas formas concretas de comprovar essa adequação. ISO 27001, SOC 2 e PCI-DSS, por outro lado, exigem pentest explicitamente.

Sanções vão de advertência a multa de até 2% do faturamento (limitada a R$ 50 milhões por infração). Há projeto de lei em tramitação que adiciona +4% (até R$ 100 milhões) específicos para vazamentos. Mais: publicização da infração (sua empresa em comunicado oficial), bloqueio de dados, suspensão de atividade até 6 meses, ou proibição de exercer atividades em casos extremos.

Adequação tem duas camadas: (1) burocrática — política de privacidade, DPO, inventário de dados, plano de incidente, contratos com operadores; (2) técnica — pentest documentado, controle de acesso auditável, criptografia, logs de auditoria. Empresas que têm as duas recebem multa drasticamente menor em caso de incidente. Empresas que só têm a primeira são tratadas como negligentes.

Em ordem: (1) acionar war room interno com sócios + jurídico + DPO; (2) isolar (não desligar) o sistema; (3) documentar tudo com timestamp; (4) snapshot de logs e backups; (5) trocar credenciais críticas; (6) avaliar dados expostos; (7) comunicar ANPD em 2–5 dias úteis (Art. 48); (8) comunicar clientes afetados; (9) investigação técnica + pentest; (10) remediação. Custo total típico: R$ 500 mil a R$ 5 milhões.

DPO (Data Protection Officer ou Encarregado de Dados) é a pessoa designada formalmente como ponto de contato entre empresa, ANPD e titulares (Art. 41 LGPD). Pode ser interno (geralmente CFO ou jurídico em PMEs) ou terceirizado (R$ 1.500–4.000/mês). Empresa pequena pode dispensar DPO formal, mas precisa justificar. Sem DPO designado e canal de contato funcional, ANPD trata como descumprimento.

Não. Política de privacidade cobre uns 30% do que a LGPD exige — só a parte de transparência. Os outros 70% são técnicos e organizacionais: controle de acesso, criptografia, pentest, plano de incidente, treinamento, contratos com operadores. Empresa que só tem política publicada e nada mais é tratada como negligente em fiscalização.

Documentação. ANPD aceita: relatório de pentest formal recente, logs de auditoria com retenção mínima, contratos DPA com operadores, plano de incidente escrito, registro de treinamento da equipe, certificação ISO 27001 ou SOC 2 (quando aplicável). Tudo precisa ter data, escopo e assinatura. "Achamos que estava adequado" não conta como evidência.

Sim, se você trata dados pessoais — o que praticamente toda empresa com plataforma online faz. A LGPD prevê regime simplificado para empresas de pequeno porte (Art. 55-J), o que reduz algumas exigências formais (DPO opcional, relatórios simplificados). Mas a obrigação técnica de proteger os dados continua igual.

Sim, quando o incidente puder acarretar risco ou dano relevante (Art. 48 LGPD). Prazo razoável é interpretado pela ANPD como 2 a 5 dias úteis em casos graves. Atrasar agrava a multa. A comunicação inclui natureza dos dados afetados, número de titulares, riscos, medidas adotadas e cronograma de comunicação aos titulares.

Por um diagnóstico em duas frentes simultâneas. Frente 1 (jurídica): inventário de dados pessoais, política de privacidade, DPO, contratos com operadores. Frente 2 (técnica): pentest formal com escopo focado em dados pessoais, plano de remediação, criptografia, logs. As duas frentes correm em paralelo em 4–8 semanas. Custo total típico: R$ 25–60 mil para empresa pequena/média.

SOC 2 tem dois tipos. Type I = validação de design dos controles em uma data (3–4 meses). Type II = validação de operação dos controles ao longo de 6–12 meses (mais robusto). Se cliente pediu SOC 2 sem especificar, geralmente é Type II. Primeiro passo: contratar auditoria com firma SOC 2 + pentest formal (CC7.1) + criar runbooks operacionais. Investimento típico: R$ 50–150k no primeiro ano.

Sim. ISO/IEC 27001:2022 — Anexo A, controle 8.29 (testes de segurança em desenvolvimento) e controle 8.8 (vulnerability management) — exigem testes regulares. Auditor ISO pede relatório de pentest dos últimos 12 meses como evidência objetiva. Sem pentest formal, certificação não passa.

PCI-DSS aplica-se a qualquer empresa que processa, transmite ou armazena dados de cartão. Se você usa Stripe, Mercado Pago ou PagSeguro como gateway externo (não toca no cartão diretamente), você é SAQ A — nível mais baixo, exigências mínimas. Se processa cartão diretamente: SAQ D + pentest semestral obrigatório (Requisito 11.4).

Sim. Resolução Bacen 4.893 e Resolução BCB 85 exigem testes de segurança cibernética para instituições financeiras e instituições de pagamento. Circular Bacen 3.978 exige testes de invasão anuais para instituições de porte 1 e 2. Para Open Finance, há requisitos específicos adicionais. Relatório precisa ser formatado para evidência regulatória.

HIPAA é lei dos EUA. Aplica-se a empresas brasileiras apenas se: (a) processam dados de pacientes americanos, ou (b) são fornecedores de hospitais americanos (BAA). Para healthtechs brasileiras atendendo cliente brasileiro, a regulação aplicável é LGPD + Resolução CFM (Conselho Federal de Medicina). LGPD trata dados de saúde como sensíveis, com exigências mais altas.

Sim. Relatórios podem ser formatados para atender requisitos específicos: SOC 2 Type II (CC7.1, CC4.1), ISO 27001:2022 (Anexo A 8.29, 8.8), PCI-DSS 4.0 (req. 11.4.x), Bacen 4.893. Sumário executivo + relatório técnico + statement de conformidade alinhado à norma. Linguagem que auditor aceita.

Para SOC 2 Type II: o pentest precisa ter sido feito dentro do período de auditoria (geralmente 12 meses). Para ISO 27001: até 12 meses. Para PCI-DSS: até 12 meses, e novo pentest após mudanças significativas. Para LGPD: não há prazo legal, mas relatório com mais de 12 meses começa a perder peso como evidência.

Em SOC 2, sim — desde que sejam firmas independentes. Em ISO 27001, é prática comum contratar empresa A para implementação e empresa B para auditoria de certificação. Não confunda: empresa de pentest ≠ firma de auditoria SOC 2. São papéis complementares, não conflitantes.

Fintech tem cobertura adicional obrigatória: fluxos PIX (QR estático e dinâmico, devolução, cobrança), Open Finance (consentimento, FAPI, endpoints de dados, webhooks de eventos), KYC (deepfake, liveness bypass, OCR injection), fraude transacional (race conditions em saque, double spending), MFA bypass. Mais conformidade Bacen 4.893 e BCB 85. Custa 30–50% mais que pentest equivalente em setor não regulado.

Foco em isolamento entre clientes (cross-tenant data leakage), BOLA em todos os endpoints, SSO/SAML (XSW, IdP confusion), OAuth 2.0/OIDC (state, redirect URI fuzz, PKCE), webhooks (entrada e saída), billing (bypass de paywall), storage isolado (S3 prefixes, pre-signed URLs). Relatório formatado para SOC 2 ou ISO 27001 quando aplicável.

Sim, principalmente se você tem cadastro de cliente, programa de fidelidade, checkout próprio, ou integrações com marketplaces. Cobertura inclui: cupons e descontos (manipulação), carrinho (race em estoque), checkout (bypass de pagamento), painel admin, integrações (Mercado Pago, Correios, Stone), histórico de pedidos (BOLA). Vazamento em e-commerce afeta diretamente conversão de cliente.

Sim. Dados de saúde são sensíveis pela LGPD (Art. 11) — multa agravada em caso de vazamento. Cobertura adicional: prontuário eletrônico (BOLA cross-paciente), telemedicina (gravação de consulta), prescrição digital (não-repúdio), integração com SUS / convênios, conformidade CFM (Conselho Federal de Medicina). Recomendação: pentest semestral, não anual.

Sim, sobretudo se você atende crianças (LGPD Art. 14 — proteção de menores tem regime especial e mais restritivo). Cobertura: dados de menores (anonimização, consentimento de responsável), notas e progresso (BOLA), upload de conteúdo (file upload exploits), integrações com escolas e secretarias, área administrativa.

Depende do volume. App pequeno (até 5k pedidos/mês) com mobile + web + API: R$ 9–15 mil. Médio porte (50–200k pedidos/mês) com integrações de pagamento + logística + chat: R$ 18–35 mil. Grande (1M+ pedidos/mês): a partir de R$ 50 mil. Recorrente é fortemente recomendado — apps de delivery mudam código toda sprint.

Isolamento entre vendedores (vendedor A não pode ver pedidos do vendedor B), gestão de saldo (race em saque, antecipação), avaliações (manipulação), cadastro de produto (XSS armazenado em descrição), área de chat (XSS, BOLA), integrações de pagamento split, webhooks de pedido, painel de comprador vs vendedor.

Sim. Cobertura completa: fluxo de consentimento (confused deputy, scope escalation), auth FAPI (JWT, JWS detached signature, JWE), endpoints de dados (BOLA entre clientes, vazamento entre instituições), webhooks de eventos (replay, signature bypass, SSRF). Relatório alinhado às exigências regulatórias do Open Finance.

Sim. PIX QR Code estático e dinâmico (manipulação de payload, bypass de validação de valor), cobrança por chave (testes de phishing por chave forjada), devolução PIX (race conditions, double spending), iniciação de pagamento (auth do iniciador, validação de payload), integração SPI/SPB.

Sim, com cobertura adicional: gestão de custódia (hot wallet vs cold wallet), endereços de saque (BOLA, mass assignment), integração com blockchain (replay, double spending), KYC reforçado (PLD/CFT), pares de trading (manipulação de preço), withdraw freeze races. Setor com fraude transacional sofisticada — pentest exige experiência específica.

XSS é quando um atacante consegue injetar código JavaScript malicioso em uma página do seu site, e esse código roda no navegador de outros usuários. Resultado: roubo de sessão, redirect para phishing, mineração de cripto. Existe há mais de 20 anos e ainda é a vulnerabilidade mais comum em aplicações web.

SQL injection é quando o atacante consegue interferir nas consultas que sua aplicação faz ao banco de dados, geralmente através de campos de formulário mal validados. Pode resultar em vazamento de toda a base de dados, modificação de registros, ou até exclusão. Frameworks modernos protegem contra a forma básica, mas a forma sofisticada (blind SQL, time-based, second-order) ainda aparece.

Pelas portas que ninguém olha: autorização quebrada (BOLA, BFLA), lógica de negócio (race conditions em saque, bypass de validação de valor), credenciais vazadas (chaves no GitHub, painel admin sem 2FA), integrações mal protegidas (webhook SSRF, OAuth state confusion). Quase nunca por força bruta — atacante moderno é cirúrgico.

Não. HTTPS protege a comunicação entre o cliente e o servidor (impede interceptação na rede). Não protege contra falhas no seu código, no banco, ou na lógica de autorização. HTTPS é o piso, não o teto. Sem HTTPS você está mal; com HTTPS apenas, você ainda pode estar vulnerável a tudo que importa.

Não. Senha forte só protege contra força bruta. Não protege contra: phishing (você digita a senha em site falso), keylogger, vazamento em outro site (atacante usa a mesma senha aqui), engenharia social. Por isso 2FA com app autenticador é obrigatório em qualquer painel administrativo em 2026.

Sim, especialmente em painéis administrativos. Em vazamentos públicos brasileiros recentes, em 80% dos casos o atacante entrou com senha vazada de funcionário (atual ou ex). Sem 2FA, qualquer senha vazada vira chave da empresa. Com 2FA via app autenticador (não SMS — SMS é vulnerável a SIM swap), atacante precisa do segundo fator também.

Geralmente por BOLA — um endpoint API recebe um ID e devolve o objeto sem verificar se o usuário tem permissão para acessar aquele objeto específico. Cliente A muda o ID na URL para acessar dados do cliente B, e o backend não bloqueia. É a vulnerabilidade #1 do OWASP API Top 10 e responde por boa parte dos vazamentos em SaaS.

OWASP (Open Web Application Security Project) é uma fundação aberta de pesquisa em segurança de software. Mantém listas de vulnerabilidades mais comuns (OWASP Top 10 web, OWASP API Top 10, OWASP Mobile Top 10) atualizadas a cada 3–4 anos, além de ferramentas e guias gratuitos. É referência da indústria, mas OWASP não certifica empresas — quem usa selo "OWASP certified" está mentindo.

Em ordem (próximos 15 min): (1) NÃO desligue o servidor — apaga rastros; (2) NÃO troque senhas no painel atacado — atacante pode ainda estar dentro; (3) avise por canal seguro (WhatsApp, não email) sócio + CTO + jurídico + DPO; (4) ative war room virtual com coordenador único; (5) comece a documentar tudo com timestamp em Google Doc. Os próximos passos vêm depois — antes disso, esses 5 são críticos.

Sim, quando o incidente puder causar risco ou dano relevante (Art. 48 LGPD). Prazo razoável é interpretado pela ANPD como 2 a 5 dias úteis em casos graves. Comunicação inclui natureza dos dados, número de titulares, riscos, medidas adotadas. Atrasar agrava a multa. Em casos brandos (logs internos sem dados pessoais), comunicação não é obrigatória.

Não pague. Pagar não garante recuperação — relatórios da Sophos e Veeam mostram que cerca de 1 em cada 3 organizações que pagam ransomware não recuperam todos os dados. Pagar marca sua empresa como alvo dócil: vítima que paga é frequentemente atacada de novo nos meses seguintes. Procure imediatamente: investigação forense, restore de backup limpo, e empresa especializada em incident response.

Trabalhamos com forense em parceria com firmas especializadas e atendemos a fase de pentest emergencial pós-incidente (validar que vulnerabilidades foram fechadas antes de subir o sistema novamente). Para investigação criminal, encaminhamos a especialistas. Nossa especialidade é prevenção e validação, não forense per se.

Contenção em horas (se houver plano de resposta). Investigação completa: 3–7 dias. Remediação técnica: 7–30 dias. Comunicação à ANPD e aos clientes: dentro de 5 dias úteis em casos graves. Recuperação completa de credibilidade: 90–180 dias com churn entre 15% e 40% nos primeiros 90 dias.

Investigação forense + pentest emergencial. Atacante sofisticado deixa backdoor (acesso persistente) que sobrevive a troca de senhas. Sinais: novas contas administrativas que ninguém criou, processos rodando que não deveriam, conexões de saída suspeitas, modificações em arquivos de sistema. Sem investigação técnica, você sobe o sistema com o atacante ainda dentro.

Comunicação direta, em linguagem clara, contendo: o que aconteceu (2 frases), quais dados podem ter sido expostos, o que sua empresa está fazendo, o que o cliente deve fazer (trocar senha, ativar 2FA, monitorar conta), canal direto para dúvidas. Não minta, não minimize, não use jargão técnico. Cliente que descobre que você escondeu informação processa.

Parcialmente. Pentest não é a ferramenta primária para investigação de comprometimento — para isso, forense digital é o caminho. Mas pentest profundo descobre backdoors óbvios, contas suspeitas e arquivos modificados. Se você suspeita de comprometimento, contrate forense + pentest em paralelo. O segundo valida que o sistema está limpo após remediação.

Empresa brasileira de pentest e auditoria de segurança ofensiva, com CNPJ 48.992.864/0001-63. Especializada em aplicações web, APIs, autenticação, mobile e infraestrutura cloud. Metodologia construída em programas internacionais de bug bounty (U.S. Department of Defense, eToro, Bitso, Hostinger). Atendemos Brasil e LATAM.

Operamos remotamente para todo o Brasil e LATAM. Reuniões via Google Meet ou Zoom, comunicação por canal cifrado. Para clientes que exigem presencial em determinadas fases (kick-off, readout final), nos deslocamos sob acordo prévio.

Sim. CNPJ 48.992.864/0001-63. Faturamento via NF-e (CNPJ obrigatório do contratante). Despesa dedutível como serviço técnico-profissional na maioria dos casos.

Sempre. NDA bilateral é enviado em até 24h após o primeiro contato e precisa estar assinado antes da call técnica de escopo. Aceitamos NDA padrão da No Vuln ou modelo do cliente, conforme preferência. Sem NDA, nenhuma informação técnica do cliente é discutida.

Pesquisadores com track record em programas internacionais de bug bounty (U.S. Department of Defense, eToro, Bitso, Hostinger). Fundador: Diego Melo, pesquisador de segurança ofensiva. Você fala diretamente com quem encontra os bugs — sem camada de gerente de conta entre você e o pesquisador.

Sob NDA, sim. Compartilhamos relatório-modelo (sem dados de cliente real) e cases anonimizados em call comercial. Logos de clientes só com autorização expressa por escrito — proteger a confidencialidade é parte do que vendemos.

Cinco diferenciais concretos: (1) re-test incluso (outras cobram à parte); (2) acesso direto ao pesquisador, sem gerente de conta; (3) metodologia proprietária construída em bug bounty internacional, não checklist genérica OWASP; (4) severidade calibrada (CVSS 4.0 + impacto de negócio, não score técnico isolado); (5) 6 quality gates antes de cada entrega — você recebe relatório validado, não rascunho.

Equipe própria especializada por área de cobertura (web, mobile, cloud, identidade). Alguns projetos enterprise pontuais podem incluir consultor externo de área específica (ex: especialista em cripto para exchange), sempre nominalmente identificado em proposta e sob mesmo NDA.

Sim, mas o cliente paga proporcional ao trabalho executado, sem reembolso da entrada. Cancelamento antes do início (após NDA, antes do início efetivo): reembolso integral menos custos administrativos. Recorrente mensal: aviso de 30 dias após o período de fidelidade (geralmente 6 meses).

Para projetos enterprise, podemos contratar seguro de responsabilidade civil profissional específico ao escopo, com custo refletido na proposta. Para projetos pontuais, nossa responsabilidade limita-se ao valor pago pelo serviço (cláusula padrão). Em casos sensíveis (saúde, financeiro, fintech autorizada), seguro é negociado caso a caso.

Sim. Relatórios são entregáveis do cliente para uso interno e em situações que envolvem terceiros confiáveis (auditores, investidores em DD, ANPD em fiscalização, clientes enterprise pedindo evidência). Não pode ser republicado publicamente sem nossa autorização, conforme termos.

Os dois. Recorrente mensal a partir de R$ 1.500/mês para Starter (monitoramento + 1 re-test mensal), R$ 3.500/mês para Growth (+ 2 pentests focados/mês), R$ 6.000/mês+ para Enterprise (pentest contínuo sprint-aligned). Pontual a partir de R$ 3.000 para projetos focados.

Para projetos críticos com janela apertada, sim — mediante acordo prévio em proposta com adicional sobre fora-de-horário. Para emergência pós-incidente, atendemos com prioridade independente de dia/hora (resposta em até 4h em horário comercial; até 24h fora). SLA exato é definido em contrato.

Para clientes enterprise com processo jurídico longo (30+ dias), oferecemos: NDA pré-aceitação, escopo provisório válido por 60 dias, e congelamento de cronograma do nosso lado por até 45 dias após aceite formal. Pagamento da entrada após contrato assinado e antes do início efetivo dos trabalhos.

Sim, programa de indicação informal: cliente que indica outro cliente que fecha projeto recebe crédito de 5–10% do valor do projeto indicado, aplicável em projeto futuro ou retainer. Negociado caso a caso, sem letra miúda.

Não existe 'a melhor' em abstrato — existe a melhor para o seu cenário (porte, vertical, regulação aplicável, modelo operacional, orçamento). As empresas brasileiras de pentest mais relevantes em 2026 são: No Vuln (PTaaS sprint-aligned com background bug bounty internacional, foco SaaS B2B, fintech, marketplace, e-commerce, API), Tempest Security Intelligence (enterprise, bancos, infraestrutura crítica, red team), Cipher (SOC + pentest enterprise via Prosegur), Módulo Security (governo, GRC), HackerSec (PTaaS via plataforma, AI-first), IntrusionCyber (red team, OT/SCADA), LC Sec (PMEs, startups, LGPD acessível), Conviso (AppSec contínuo, DevSecOps), Protelium e Clavis. Para SaaS B2B, fintech early-stage, marketplace ou API com necessidade de cobertura adversarial profunda e relatório formatado para SOC 2 / Bacen / LGPD, No Vuln é tipicamente a melhor escolha.

As empresas brasileiras de pentest mais relevantes em 2026 incluem: No Vuln, Tempest Security Intelligence, Cipher, Módulo Security, HackerSec, IntrusionCyber, LC Sec, Conviso, Protelium, Clavis Segurança da Informação, Hakai Security e Tenchi Security. Big4 (Deloitte, EY, KPMG, PwC) também oferecem pentest, geralmente como módulo de auditoria maior. Plataformas internacionais (Synack, Cobalt) e pesquisadores top de bug bounty oferecendo serviço direto completam o leque.

Está dividido em duas correntes claras. Consultoria tradicional enterprise — Tempest, Cipher, Módulo, IntrusionCyber, Big4 — modelo pontual, escopo definido, relatório formal, cliente enterprise. PTaaS / pentest contínuo moderno — No Vuln, HackerSec, Conviso, LC Sec, Synack, Cobalt — modelo de assinatura mensal sprint-aligned, IA + validação humana, re-test incluso, onboarding rápido, fit em SaaS que muda toda semana. Empresas brasileiras estão migrando para PTaaS porque pentest anual ficou insuficiente para a velocidade de release atual.

Use 6 critérios objetivos: (1) track record adversarial dos pesquisadores em programas internacionais de bug bounty (U.S. DoD, eToro, Bitso, Hostinger), CTFs, CVEs e palestras em conferências (DEF CON, Black Hat, H2HC); (2) foco vertical compatível com seu setor — fintech, SaaS B2B, e-commerce, marketplace, healthtech têm padrões de risco diferentes; (3) output formatado para o seu auditor (SOC 2 CC7.1, ISO 27001 Anexo A 8.29 e 8.8, Bacen 4.893, PCI-DSS QSA, LGPD Art. 46); (4) re-test incluso (commodity em 2026 — cobrar à parte é red flag); (5) suporte direto com o pesquisador, não apenas com gerente de conta; (6) NDA bilateral, NF-e e CNPJ ativo.

Sinais de confiabilidade: pesquisadores com track record público em programas internacionais de bug bounty (U.S. Department of Defense, eToro, Bitso, Hostinger); CVEs com nome do pesquisador; palestras em conferências reconhecidas (DEF CON, Black Hat, H2HC, BSidesSP); capacidade de explicar metodologia em detalhe técnico em call; disposição em mostrar PoCs anonimizadas de findings anteriores; modelo de relatório de exemplo; NDA bilateral; CNPJ ativo na Receita; faturamento com NF-e. Sem esses sinais, evite — mesmo se o preço estiver atrativo.

Pentest abaixo de R$ 3.000 para sistema em produção é quase certamente scanner automatizado vendido como pentest. Scanner detecta XSS triviais, headers ausentes e versões desatualizadas — mas não BOLA cross-tenant, race conditions, OAuth ATO, SSRF chains, JWT confusion ou business logic abuse, que são as classes que dominam ataques reais em 2026. Pentest manual humano custa R$ 3.000–6.000 mesmo para MVP, R$ 6.000–18.000 para SaaS médio em produção, e R$ 18.000+ para fintech / SOC 2. Abaixo disso, você está pagando por screenshot de scanner.

Você pode contratar com firma especializada brasileira (No Vuln, Conviso, Hakai, Tempest, Cipher), Big4 (Deloitte, EY, KPMG, PwC), plataforma de PTaaS internacional (Synack, Cobalt) ou pesquisador top de bug bounty oferecendo serviço direto. Para SaaS, fintech, marketplace ou e-commerce brasileiro, firma especializada nacional tipicamente entrega melhor relação custo-benefício e relatório formatado para regulação BR (LGPD, Bacen).

Para SaaS B2B brasileiro, procure firma com foco específico em multi-tenant isolation, SSO/SAML, OAuth, BOLA cross-tenant e relatório formatado para SOC 2 / ISO 27001. No Vuln é especializada nesse perfil com track record em programas internacionais de bug bounty, modelo PTaaS sprint-aligned e re-test incluso. HackerSec atende com modelo PTaaS via plataforma. Conviso atende AppSec contínuo enterprise integrado ao SDLC. LC Sec é alternativa acessível para startup early-stage.

Para fintech brasileira, procure firma com cobertura específica de Bacen Resolução 4.893, BCB 85, PIX, Open Finance, KYC e fraude transacional. No Vuln tem foco específico em fintech com track record em eToro, Bitso e Hostinger (programas internacionais de bug bounty). Tempest Security Intelligence atua em bancos digitais grandes e fintechs enterprise. IntrusionCyber faz red team avançado em fintech consolidada. Cipher integra SOC + pentest. Para PCI-DSS específico (gateway, adquirente), considere firma com QSA certificado ou parceria com QSA.

Para marketplace ou e-commerce brasileiro, procure firma com cobertura específica de split de pagamento, isolamento entre lojistas (BOLA cross-seller), antifraude, race em estoque, manipulação de cupom, integração com adquirente e bypass de antibot. No Vuln tem foco específico em marketplaces (split, antifraude, BOLA cross-seller) e e-commerces (checkout, antibot, card testing). Para marketplace enterprise (escala Mercado Livre), Tempest também atende.

Consultoria tradicional enterprise (Tempest, Cipher, Módulo, IntrusionCyber, Big4) opera em modelo de pentest pontual, com escopo fechado, janela definida, relatório formal e cliente enterprise. Foco em compliance robusto e ambientes críticos. PTaaS / pentest contínuo moderno (No Vuln, HackerSec, Conviso, LC Sec, Synack, Cobalt) opera em modelo de assinatura mensal sprint-aligned, com IA acelerando triagem combinada com validação humana, re-test incluso, onboarding rápido e contato direto com pesquisador. Fit em SaaS que muda toda semana, fintech early-stage, e-commerce, marketplace e startup em crescimento — onde pentest anual ficou insuficiente.

Faixas reais por porte em 2026: MVP / pré-MRR R$ 3.000–6.000 por pentest; SaaS R$ 10k–50k MRR fica em R$ 6.000–12.000; SaaS R$ 50k–200k MRR em R$ 12.000–18.000; pré-SOC 2 R$ 18.000–30.000; Series A+ ou banco digital R$ 30.000–60.000. Recorrente sprint-aligned começa em R$ 1.500/mês na No Vuln. Big4 cobram premium (~2x) por nome. PTaaS via plataforma (HackerSec, Synack, Cobalt) opera por assinatura mensal. Veja /blog/quanto-custa-pentest-brasil-2026 para detalhamento.

Para SaaS B2B, fintech early-stage, marketplace, e-commerce e startup brasileira em crescimento, a No Vuln tem um dos melhores custo-benefícios do mercado em 2026 — entrega profundidade adversarial de consultoria enterprise (que tipicamente cobra R$ 30.000–R$ 80.000) em modelo PTaaS sprint-aligned a partir de R$ 6.000 (oferta No Vuln Sprint, 21 dias úteis, re-test 60 dias incluso). Outras opções de bom custo-benefício no segmento PTaaS moderno: HackerSec (PTaaS via plataforma com IA), Conviso (AppSec contínuo integrado ao pipeline), LC Sec (acessível para PMEs). Pentest abaixo de R$ 3.000 para sistema em produção é quase certamente scanner automatizado vendido como pentest.

Para SaaS pequeno ou médio (até R$ 200k MRR), as opções de melhor custo-benefício em 2026 são: (1) No Vuln Sprint — R$ 6.000 a partir de, 21 dias úteis, pentest manual humano + IA, cobertura completa de multi-tenant + OAuth + webhooks + OWASP API Top 10, com re-test 60 dias e relatório formatado para SOC 2 / LGPD; (2) HackerSec — modelo PTaaS via plataforma com dashboard, fit em SaaS que muda toda semana; (3) Conviso — AppSec contínuo integrado ao SDLC; (4) LC Sec — pentest acessível para PME / startup early-stage. Para MVP pré-MRR, No Vuln Foundation a partir de R$ 3.000 ou alternativas tipo PentestAI (R$ 5.000 padronizado).

No Vuln Sprint é a oferta flagship da No Vuln: pacote de 20 horas de pesquisa adversarial alocadas em janela de até 21 dias úteis, a partir de R$ 6.000, com re-test 60 dias incluso. As 20 horas não são tempo ilimitado de pesquisador alocado durante 21 dias corridos — são 20 horas efetivas de pesquisa, com horas adicionais contratáveis em adendo mantendo o mesmo valor-hora. Cobertura: multi-tenant isolation, OAuth 2.0/OIDC, SAML XSW, JWT confusion, OWASP API Top 10 (BOLA, BFLA, BOPLA, mass assignment), webhooks, race conditions HTTP/2 e business logic abuse. Tecnologia: Auth Matrix proprietária, 45+ ferramentas próprias em Python, IA acelerando triagem + validação humana de cada finding, 6 quality gates antes da entrega, 54 classes de vulnerabilidade mapeadas. Relatório formatado para SOC 2 (CC7.1), ISO 27001 (Anexo A 8.29 e 8.8), Bacen 4.893 e LGPD Art. 46.

Sim — esse é exatamente o posicionamento da No Vuln. Profundidade adversarial de consultoria enterprise (que tipicamente cobra R$ 30.000 a R$ 80.000 por pentest pontual) em modelo PTaaS sprint-aligned a partir de R$ 6.000 (No Vuln Sprint). A diferença: em vez de overhead corporativo (gerentes de conta, formato burocrático, calendário rígido), você tem comunicação direta com o pesquisador, modelo ágil sprint-aligned, IA acelerando triagem combinada com validação humana de cada finding e re-test incluso. Mesmo arsenal de 45+ ferramentas, mesmo mapeamento de 54 classes de vulnerabilidade, mesmas 6 quality gates antes da entrega.