Pentest profundo para e-commerces que perdem dinheiro silenciosamente em fraude no checkout.

Pentest em e-commerce não é sobre “atacante derruba o site”. É sobre centenas de pedidos por mês saindo com preço modificado, cupom reutilizado, frete grátis fraudado e estorno duplicado. Você não vê em log de aplicação — vê em conciliação com adquirente, três meses depois, quando o financeiro não fecha.

Os padrões mais comuns:

• Manipulação de preço — atacante altera valor entre carrinho e pagamento, gateway aceita
• Cupom reutilizado— campanha “único” que aceita 5x
• Card testing — checkout serve como validador de cartões roubados em massa
• Frete grátis fraudado — bypass por modificação de cep/região
• Cashback em cancelamento — cliente cancela e fica com cashback

Pentest aqui paga ele mesmo no primeiro mês — fraude documentada e bloqueada.

Checkout e fluxo de compra

• Manipulação de preço entre carrinho, checkout e pagamento
• BOPLA em pedido (mudar valor, status, frete via PATCH direto)
• Race em estoque (comprar produto sem estoque)
• Race em pedido (criar 2 pedidos com 1 cartão validado)
• Bypass de validação de CPF / dados pessoais
• Manipulação de moeda em store multi-currency
• Bypass de regra de combo / produto bundle

Cupom, voucher, cashback

• Reuso de cupom single-use (race condition)
• Combinação de cupons mutuamente exclusivos
• Bypass de regra de elegibilidade (CPF, primeiro pedido, valor mínimo)
• Manipulação de % de desconto via payload
• Cashback fraudado em cancelamento
• Empilhamento de cashback de programa de fidelidade

Frete e entrega

• Manipulação de frete (alterar valor após pedido)
• Bypass de validação de CEP/região para frete grátis
• Bypass de regra de produto sem entrega para região
• BOLA em rastreamento (acessar entrega de outro cliente)
• Manipulação de status de entrega
• SSRF via integração com transportadora

Antibot, antifraude e card testing

• Card testing — taxa de aprovação como sinal para atacante
• Rate limit em checkout por IP / device / BIN / CEP
• Bypass de CAPTCHA (re-uso de token, headless detection)
• Fingerprint forgery (User-Agent, Accept-Language, screen)
• Abuse de fluxo de cadastro/login para evadir antifraude
• Bypass de score por modificação de payload
• Mastercard SDP / Visa CPP — high-risk merchant compliance

Catálogo e busca

• BOPLA em produto (alterar preço de outro vendedor em marketplace)
• Mass assignment em update de produto
• SQL injection / NoSQL injection em busca
• SSRF via importação de produto via URL
• XSS stored em descrição de produto
• Path traversal em upload de imagem

Conta de cliente

• BOLA em pedidos, endereços, cartões salvos
• ATO via OAuth (Google, Apple, Facebook login)
• Token de recovery — entropy, replay, expiração
• BOLA em wishlist
• Vazamento de PII em endpoint público

Integrações com adquirente e ERP

• Webhook tampering — replay, signature bypass
• Race em conciliação (pedido marcado pago sem pagamento)
• SSRF via integração com ERP (Bling, Tiny, Linx)
• Manipulação de payload de subadquirente
• Bypass de validação 3DS

Plataformas específicas

• VTEX IO — apps customizados, Master Data, Checkout UI customization
• Shopify — apps Shopify, Liquid templates, Storefront API
• Magento 2 — extensions, ACL, customer data leak
• Tray, Loja Integrada, Nuvemshop, custom platforms