Todos os cases abaixo foram anonimizados sob NDA. Números, setor e vetor são reais — nome do cliente, não.
Endpoint administrativo exposto por misconfig em API gateway. Combinado com IDOR na rota de transferências, permitia pivot para qualquer conta. Identificado no dia 2 do engajamento.
Bucket de staging replicava dados de produção sem criptografia e sem controle de acesso. Corrigido antes da auditoria ISO externa.
Engajamento de Red Team via phishing. Pivot de estação de engenharia para rede OT via VPN com credenciais padrão. Corrigido com segmentação + jump host + MFA.
XSS refletido em busca + política permissiva de cookies permitiu roubo de sessão administrativa. Identificado no pentest padrão.
Publicar o nome de um cliente junto com a falha que ele teve é expor duas vezes: uma na hora do incidente, outra para sempre. Descrever o vetor e o impacto ensina; identificar a vítima só serve de vitrine — e desalinha o incentivo, porque a empresa que autoriza a divulgação passa a ser a que menos tinha a perder.
Setores diferentes, arquiteturas diferentes, e mesmo assim os caminhos que funcionam se parecem. Estes são os que aparecem com mais frequência — vale olhar para eles antes de contratar qualquer teste.
Homologação com cópia de produção, painel administrativo antigo, serviço subido para uma demonstração e nunca desligado. Costuma estar fora do inventário e, por isso, fora de toda proteção aplicada ao resto.
O sistema confere se você está autenticado, mas não se aquele registro é seu. É a falha que ferramenta automatizada mais deixa passar, porque a requisição parece perfeitamente legítima.
Acesso amplo concedido para destravar uma entrega, com a promessa de ajustar depois. Meses depois continua lá, agora herdado por gente que nunca soube que o tinha.
Chave em variável de ambiente exposta, credencial no histórico do repositório, token em arquivo de configuração versionado. É o caminho mais curto para dentro e o mais fácil de fechar.
Duas aplicações que se autenticam por rede ou por segredo compartilhado. Comprometer a menos protegida entrega a mais protegida, e a segmentação que deveria conter isso raramente foi testada.
O evento foi registrado, o alerta foi gerado — e parou em uma fila que ninguém lê. Tecnicamente detectado, na prática invisível: a diferença só aparece em um exercício sem aviso.
Porque a autorização para publicar viria de quem tem menos a perder, não de quem teve o caso mais instrutivo. Todo material é anonimizado sob acordo de confidencialidade, e o vetor técnico — a parte útil — é preservado.
Sim, mediante autorização das partes envolvidas. Para a maioria dos processos, porém, o que resolve é a carta de conclusão do seu próprio engajamento, emitida após o reteste: ela é evidência direta, e não a opinião de um terceiro sobre outro trabalho.
Não. O caminho depende da arquitetura, das integrações e de decisões que só aparecem no seu ambiente. Os cases mostram o tipo de coisa que costuma ser encontrada, não um roteiro que se repete.
Nunca. Nada vira texto público antes da correção estar concluída e confirmada em reteste, e ainda assim só com autorização. O mesmo critério vale para pesquisa própria, descrito na política de divulgação responsável.
Primeira call de scoping é gratuita e coberta por NDA. Em 48 horas você recebe proposta técnica, escopo e cronograma. Sem formulários burocráticos.