Serviço 05 · Cibersegurança
Testamos o seu sistema antes que alguém teste por você
Teste de invasão, revisão de código e monitoramento contínuo aplicados ao que a sua empresa já tem no ar. Atacamos primeiro, com autorização e escopo por escrito, e entregamos cada falha com a prova e a correção do lado.
- Escopo autorizado por escrito
- NDA
- Nota fiscal
Ficha do serviço
- Começa por
- Escopo e autorização assinados
- Referência
- OWASP Top 10 e ASVS
- Entrega
- Relatório com prova e correção
- Reteste
- Incluído após a correção
- Sigilo
- NDA e dado tratado como confidencial
Por que existir
Sistema no ar que ninguém testou é uma aposta
Não é preciso ser alvo famoso: varredura automática bate na porta de todo servidor exposto, todos os dias. A pergunta não é se vão tentar, é o que encontram quando tentam.
Como é hoje
- Senha de administrador que não muda desde a implantação.
- Login sem segundo fator e sem limite de tentativa.
- Backup que existe no papel e que ninguém nunca restaurou para conferir.
- Biblioteca parada há anos, com falha pública e correção disponível.
- Upload que aceita qualquer arquivo e grava direto na pasta pública.
- Ninguém sabe dizer quem acessou qual dado, nem quando.
Com segurança tratada como parte do sistema
- O ataque acontece com hora marcada. Simulamos no seu ambiente o que um invasor tentaria, dentro de um escopo fechado e autorizado por escrito.
- Achado com prova, não com suspeita. Cada falha vem com o passo a passo para reproduzir, o risco explicado em português e a correção recomendada.
- Correção acompanhada até fechar. Não entregamos um PDF e desaparecemos: acompanhamos a correção com o seu time e retestamos o que foi corrigido.
- Acesso sob controle. Segundo fator, permissão por perfil e política de senha. O básico, bem feito, é o que barra a maior parte das tentativas automatizadas.
- Rastro de quem fez o quê. Registro de acesso e de ação nos pontos sensíveis — é o que permite responder com fato, e não com achismo, depois de um incidente.
- Monitoramento que continua depois da entrega. Dependência vulnerável, certificado vencendo e serviço fora do ar viram alerta em vez de descoberta tardia.
Escopo
O que entra no escopo
Cada frente pode ser contratada isoladamente ou em conjunto. Nada começa a rodar sem autorização assinada e janela combinada com você.
- Teste de invasão: ataque controlado a site, aplicação web, API e app — pelo olhar de quem não tem acesso nenhum e pelo de quem já entrou com uma conta comum.
- Revisão de código: leitura do código-fonte atrás de injeção de SQL, falha de autenticação, permissão furada, segredo versionado por engano e dependência vulnerável.
- Auditoria de infraestrutura: porta exposta, serviço desatualizado, certificado vencido, permissão de arquivo, política de senha e backup — inclusive o teste de restauração.
- Segurança das integrações: webhook, token de API e troca de dados entre sistemas, que é onde a informação costuma vazar sem ninguém perceber.
- Resposta a incidente: quando já aconteceu — contenção, levantamento do que foi acessado, volta ao ar e o relato do que precisa mudar para o caso não se repetir.
- Parte técnica da LGPD: cifragem, controle de acesso, retenção, anonimização e registro — as medidas técnicas que a lei exige, traduzidas em ajuste no código.
Processo
Do escopo assinado ao reteste
Seis etapas. Você sabe desde o começo o que vai ser testado, quando e o que acontece com cada falha encontrada.
Escopo e autorização
O que pode ser testado, em qual janela e por quem. Assinado antes de o primeiro pacote sair.
Reconhecimento
Mapeamento do que está exposto: domínios, portas, rotas de API, versões e informação que escapa sem ninguém notar.
Exploração
A tentativa real, dentro do escopo: entrar, escalar privilégio e ver até onde dá para chegar no dado.
Relatório
Cada achado documentado e classificado por gravidade — resumo curto para a diretoria, detalhe técnico para o time.
Correção junto
Acompanhamos o seu time na correção. Quando o sistema foi construído por nós, corrigimos e mostramos o que mudou.
Reteste
Rodamos de novo o que foi corrigido e registramos, item a item, o que fechou e o que continua aberto.
Prova
Segurança que já sustenta produto nosso
A prática não vem de curso: vem de operar produto próprio em produção, com dinheiro e dado sensível passando por dentro todos os dias.
Acesso autorizado
Ferramentas de segurança da OpenAI
Temos acesso autorizado às ferramentas de segurança da OpenAI e as usamos na revisão de código e na caça a vulnerabilidades dentro dos projetos que atendemos. Elas aceleram a leitura de uma base grande; a análise, o julgamento do risco e a correção continuam sendo feitos por gente daqui.
OpenAI e o seu logotipo são marcas registradas da OpenAI. A menção indica acesso autorizado à ferramenta — não parceria comercial nem endosso.
Um cofre com arquitetura zero-knowledge é produto nosso, no ar
O Cripto Max guarda chave e frase de recuperação com a cifragem feita no navegador do usuário: o servidor recebe o pacote já cifrado e nunca vê o segredo em claro. Quem projeta e opera um sistema assim conhece de perto o que costuma falhar nos outros — e é esse olhar que aplicamos no seu.
Dúvidas
Perguntas que sempre aparecem
Se a sua não estiver aqui, manda no WhatsApp. Respondemos sem rodeio.
Preciso autorizar por escrito mesmo sendo o dono do sistema?
O teste pode derrubar o meu sistema?
O que exatamente eu recebo no fim?
Vocês corrigem ou só apontam?
E se vocês descobrirem que já houve invasão?
Com que frequência vale repetir?
Peça o diagnóstico do que já está exposto
A primeira conversa é um diagnóstico: olhamos o que está exposto, dizemos o que preocupa e qual seria o escopo. Se não houver risco relevante para tratar agora, falamos isso com todas as letras.