Pentest: o teste que invade sua empresa antes do criminoso

Em dezembro de 2021, uma falha numa biblioteca gratuita chamada Log4j — usada por metade da internet corporativa sem que ninguém soubesse — deixou milhões de sistemas abertos a invasão da noite para o dia. Empresas do mundo inteiro passaram semanas respondendo à mesma pergunta constrangedora: nós usamos isso? onde? As que já faziam testes de invasão regulares tinham o mapa; as demais descobriram seus próprios sistemas junto com os atacantes.

Um ano depois, a Uber — com equipe de segurança de elite — foi invadida por um caminho banal: o atacante bombardeou um prestador de serviço com notificações de login até ele aceitar uma, entrou na VPN e achou, numa pasta interna, credenciais de administrador. A própria empresa relatou o caso. Moral das duas histórias: a porta de entrada quase nunca é a que a TI está olhando.

É para achar essas portas que existe o pentest — teste de invasão: especialistas contratados para invadir sua empresa antes que criminosos o façam, com autorização por escrito, escopo definido e relatório no final. O equivalente digital de contratar alguém para testar as fechaduras do prédio.

Como funciona um teste sério

Primeiro, o papel. Autorização assinada definindo quais sistemas, em que janela, até que profundidade. Sem esse documento não existe teste — existe crime (Lei nº 12.737/2012, que criminalizou a invasão de dispositivos). O papel protege as duas partes.

Depois, o reconhecimento. O que a empresa expõe sem saber: sistemas esquecidos, painéis de administração abertos, e-mails e senhas de colaboradores circulando em vazamentos públicos. Quase sempre há surpresa já nessa fase.

Então, a prova. O especialista tenta de fato acessar o que não deveria — sem derrubar produção — e documenta cada passo, como um ladrão que deixa bilhetes explicando por onde entrou.

Por fim, o relatório — a entrega que importa: cada achado com gravidade, evidência e receita de correção, num texto que a diretoria entende e a TI executa.

Caixa-preta, caixa-branca — e qual pedir primeiro

• Black box: o testador começa como um atacante de fora, sem informação nenhuma. Mede sua exposição real à internet.
• Grey box: recebe um acesso comum (um login de funcionário, por exemplo) e mede o estrago que um colaborador — ou alguém que roubou a conta de um — conseguiria fazer.
• White box: recebe documentação e acessos amplos; é o mais profundo e o melhor custo-benefício para achar o máximo de problemas por hora paga.

Para a primeira vez, a combinação mais comum é black box na borda externa + grey box interno. E se a sua empresa atende requisitos como ISO 27001 ou PCI-DSS (o padrão do mercado de cartões), testes regulares não são opção — são exigência da certificação.

Como escolher quem contratar

Peça o modelo de relatório antes de fechar: ele revela mais que qualquer apresentação comercial. Um relatório bom prioriza — o que corrigir primeiro e por quê; um ruim é a exportação bruta de um scanner automático. Desconfie de quem promete “invadir tudo” sem discutir escopo, e lembre: ferramenta acha vulnerabilidade; só gente experiente prova o impacto no seu negócio e ordena o conserto.

Frequência de referência: uma vez ao ano e após mudanças grandes — sistema novo, migração para nuvem, fusão. Entre um teste e outro, corrigir as pendências do relatório anterior vale mais do que um teste novo.

O objetivo do pentest não é apontar culpados — é descobrir pela porta amiga o que um dia entraria pela porta errada.

Fontes

• Falha Log4Shell/Log4j (CVE-2021-44228, dez/2021): alertas públicos de CISA e fabricantes
• Invasão da Uber (2022): comunicado de segurança da própria empresa
• Lei nº 12.737/2012 (crimes informáticos): planalto.gov.br