O que é Pentest? Guia completo de teste de intrusão em 2026
Pentest (abreviação de penetration test, ou teste de intrusão) é uma simulação controlada de ataque cibernético, conduzida por especialistas em segurança ofensiva, com o objetivo de encontrar e explorar vulnerabilidades em sistemas, redes e aplicações antes que um atacante real o faça.
A diferença é simples, mas decisiva: um criminoso explora a falha para causar dano; um pentester explora a mesma falha para documentá-la, medir o impacto real e entregar um caminho de correção. É segurança feita pela perspectiva de quem ataca, porque você só sabe se uma porta está realmente trancada quando alguém tenta abri-la.
Em 2026, com aplicações distribuídas em nuvem, APIs expostas, integrações de terceiros e modelos de IA em produção, a superfície de ataque das empresas nunca foi tão grande. O pentest deixou de ser um item opcional de compliance e passou a ser uma prática contínua de engenharia de segurança.
Este guia cobre o que você precisa saber: tipos de pentest, fases de um teste, a diferença para um scan automatizado, frequência ideal, conformidade e como avaliar um bom relatório e um bom parceiro.
Por que pentest importa (e quanto custa não fazer)
A maioria das brechas que viram manchete não exigiu técnicas sofisticadas. Foram credenciais expostas, um endpoint sem autenticação, uma configuração de bucket aberta ou uma dependência desatualizada. São exatamente os tipos de falha que um pentest bem conduzido encontra.
O custo de não testar não é hipotético:
- Vazamento de dados sob a LGPD pode gerar multas de até 2% do faturamento (limitadas a R$ 50 milhões por infração), além de dano reputacional.
- Tempo de permanência (dwell time) de um atacante na rede costuma ser medido em semanas ou meses, tempo de sobra para exfiltrar dados e instalar persistência.
- Custo de remediação reativa, depois do incidente, é ordens de magnitude maior do que o custo de encontrar a falha em um teste planejado.
Pentest é, no fundo, gestão de risco. Você paga para descobrir o problema em um ambiente controlado, com relatório e plano de ação, em vez de descobrir pela imprensa.
Tipos de pentest
Não existe "um" pentest. O escopo define o tipo, e cada tipo responde a uma pergunta de risco diferente.
Pentest de aplicação web
Foca em aplicações acessíveis pelo navegador. Cobre as classes de falha do OWASP Top 10: injeção (SQLi, NoSQLi), quebra de controle de acesso, falhas de autenticação, Server-Side Request Forgery (SSRF), XSS, exposição de dados sensíveis e configurações inseguras. É o tipo mais demandado porque a web é, na prática, a porta de entrada da maioria dos negócios.
Pentest de API
APIs REST e GraphQL têm sua própria taxonomia de risco (OWASP API Security Top 10). O foco aqui é diferente do web tradicional: Broken Object Level Authorization (BOLA/IDOR), autenticação fraca entre serviços, exposição excessiva de dados na resposta, falta de rate limiting e endpoints internos expostos sem necessidade. Como APIs movimentam dados entre sistemas, uma falha de autorização costuma ter impacto direto e massivo.
Pentest de infraestrutura (rede)
Avalia servidores, serviços de rede, firewalls, segmentação e, cada vez mais, ambientes de nuvem (AWS, Azure, GCP). Busca serviços expostos, versões vulneráveis, configurações fracas, segmentação inexistente e caminhos de movimentação lateral. Pode ser externo (a partir da internet) ou interno (simulando um atacante já dentro da rede, como um funcionário mal-intencionado ou uma máquina comprometida).
Red team
O exercício mais próximo de um ataque real. Em vez de cobrir uma lista de checagens, o red team persegue um objetivo (ex: "chegar ao banco de dados de clientes" ou "obter acesso de administrador de domínio") usando qualquer caminho disponível (técnico, físico ou humano) e operando de forma furtiva para testar também a capacidade de detecção e resposta (o blue team) da organização.
Engenharia social
O elo mais explorado raramente é o código: são as pessoas. Aqui se testam campanhas de phishing, pretexting (manipulação por contexto falso), vishing (telefone) e, em escopos físicos, tentativas de acesso a instalações. O objetivo não é "pegar" funcionários, e sim medir a resiliência humana e a eficácia do treinamento de conscientização.
A escolha do tipo depende do seu modelo de ameaça. Uma fintech com API pública prioriza pentest de API e web; uma indústria com rede corporativa extensa prioriza infra e engenharia social.
Black box, gray box e white box
Outra dimensão importante é quanta informação o pentester recebe antes de começar:
| Abordagem | Conhecimento prévio | Simula | Quando usar |
|---|---|---|---|
| Black box | Nenhum (só o alvo) | Atacante externo sem informação interna | Avaliar a superfície externa "como o mundo a vê" |
| Gray box | Parcial (credenciais de usuário comum, docs) | Atacante com acesso limitado ou insider | Equilíbrio entre realismo e cobertura, o mais comum |
| White box | Total (código-fonte, arquitetura, credenciais admin) | Análise profunda com visão interna | Máxima profundidade; ideal para sistemas críticos |
O gray box costuma oferecer o melhor custo-benefício: realismo suficiente para simular uma ameaça concreta, com contexto suficiente para o teste não desperdiçar tempo em reconhecimento óbvio.
As fases de um pentest
Um teste de intrusão profissional segue uma metodologia estruturada (PTES, OWASP, NIST SP 800-115). Na prática, organiza-se em quatro grandes fases.
1. Reconhecimento (recon)
Mapeamento do alvo. Coleta passiva (informações públicas, DNS, subdomínios, vazamentos anteriores, metadados) e ativa (varredura de portas, fingerprinting de tecnologias, enumeração de endpoints). É a fase que define o "terreno" e onde, com frequência, já aparecem os primeiros achados: um subdomínio esquecido, um painel de admin exposto.
2. Exploração
Tentativa controlada de explorar as vulnerabilidades identificadas para provar o impacto. Não basta dizer "este parâmetro parece vulnerável a SQL Injection"; o pentester demonstra a exploração de forma segura e documentada:
# Exemplo ilustrativo: confirmação de SQLi time-based em endpoint de busca
$ curl '/api/products?sort=price'
→ tempo: 0.12s (resposta normal)
$ curl "/api/products?sort=price AND 1=1"
→ tempo: 0.13s (condição verdadeira)
$ curl "/api/products?sort=price AND SLEEP(3)"
→ tempo: 3.81s (delay confirmado: vulnerabilidade explorável)
[!] SQL Injection blind (time-based) confirmada no parâmetro 'sort'
A exploração é sempre acordada em escopo: o pentester confirma a falha sem causar indisponibilidade nem destruir dados reais.
3. Pós-exploração
Depois de obter acesso, o que um atacante conseguiria fazer? Esta fase mede o impacto real: escalonamento de privilégios, movimentação lateral, acesso a dados sensíveis, persistência. É aqui que se diferencia uma vulnerabilidade teórica de baixo risco de uma que dá controle total do ambiente. O acesso obtido é a régua que transforma um achado em uma narrativa de risco que o negócio entende.
4. Relatório
A entrega que importa. Cada vulnerabilidade é documentada com evidência, severidade (geralmente via CVSS), passos de reprodução e recomendação de correção. Um bom relatório fala duas línguas: a técnica (para o time corrigir) e a executiva (para a liderança priorizar).
Pentest vs. scan automatizado de vulnerabilidades
Essa é a confusão mais comum, e mais cara. Um scanner automatizado (Nessus, OpenVAS, Qualys) e um pentest não são a mesma coisa e não se substituem.
| Critério | Scan automatizado | Pentest |
|---|---|---|
| Quem executa | Ferramenta | Especialista humano (apoiado por ferramentas) |
| Profundidade | Detecta vulnerabilidades conhecidas (CVEs, assinaturas) | Explora, encadeia falhas e prova impacto real |
| Falsos positivos | Altos, exige validação manual | Baixos, todo achado é validado e demonstrado |
| Lógica de negócio | Não detecta | Detecta (ex: burlar um fluxo de pagamento) |
| Encadeamento de falhas | Não faz | Faz (3 falhas "baixas" que juntas dão acesso total) |
| Custo e frequência | Baixo; pode rodar diariamente | Maior; pontual ou periódico |
O scanner é ótimo para higiene contínua: rodar com frequência e pegar o que é conhecido. O pentest entra para encontrar o que a máquina não vê: falhas de lógica de negócio, controle de acesso quebrado e cadeias de exploração. O ideal é usar os dois: scan contínuo + pentest periódico.
Com que frequência fazer pentest?
A resposta honesta: depende do seu risco e da velocidade de mudança do seu sistema. Como referência prática:
- Anualmente, no mínimo, é o piso esperado por boa parte dos frameworks de conformidade.
- A cada mudança significativa: nova funcionalidade crítica, migração de infraestrutura, nova integração ou exposição de uma nova API.
- Trimestral ou semestral para aplicações críticas, que lidam com dados sensíveis ou alto volume financeiro.
- Contínuo (modelo Pentest as a Service / Continuous Security Testing) para times com deploy frequente, onde testar uma vez por ano deixaria meses de código novo sem cobertura.
A regra mental: se você mudou bastante desde o último teste, está na hora de testar de novo. Pentest é foto de um momento; código muda toda semana.
Pentest e conformidade: LGPD, ISO 27001 e OWASP
Embora pentest seja, primeiro, uma prática de segurança, ele também sustenta exigências regulatórias e contratuais.
- LGPD: a lei exige a adoção de "medidas de segurança técnicas e administrativas" para proteger dados pessoais. Pentest é uma das formas mais reconhecidas de demonstrar diligência e identificar riscos antes que virem incidentes notificáveis à ANPD.
- ISO/IEC 27001: o controle de gestão de vulnerabilidades técnicas (Anexo A) é endereçado de forma robusta com testes de intrusão periódicos, que viram evidência objetiva para auditoria de certificação.
- OWASP: não é norma, mas é o padrão de fato. O OWASP Top 10 (web), o API Security Top 10 e o ASVS (Application Security Verification Standard) servem de base metodológica para o escopo e os critérios de um pentest sério.
- PCI DSS: para quem processa pagamentos com cartão, o pentest periódico é obrigatório e explicitamente exigido pela norma.
Importante: conformidade é consequência, não objetivo. Fazer pentest "só para passar na auditoria" produz um relatório bonito e um sistema inseguro. Faça pelo risco; a conformidade vem junto.
O que esperar de um bom relatório
O relatório é o produto final, e separa o trabalho profissional do amador. Procure por:
- Sumário executivo: visão de risco em linguagem de negócio, para a liderança decidir e priorizar sem precisar entender CVSS.
- Severidade clara e justificada: classificação (Crítica/Alta/Média/Baixa) baseada em impacto e probabilidade reais no seu contexto, não só na nota bruta de um vetor CVSS.
- Evidências reproduzíveis: prints, requests/responses, comandos. Você (ou seu time) deve conseguir reproduzir o achado.
- Passo a passo de exploração: o caminho que o pentester percorreu, para você entender a cadeia, não só o ponto final.
- Recomendações acionáveis e específicas: "use prepared statements no endpoint X", não "implemente segurança".
- Priorização: o que corrigir primeiro. Trinta achados sem ordem é uma lista; trinta achados priorizados é um plano.
- Reteste: um bom parceiro valida as correções depois, confirmando que a falha foi de fato fechada (e que a correção não abriu outra).
Se o "relatório" for apenas a exportação de um scanner com 200 falsos positivos, você contratou um scan, não um pentest.
Como escolher um parceiro de pentest
Critérios que importam de verdade:
- Pessoas e certificações: quem executa? Procure por experiência real e certificações reconhecidas (OSCP, OSWE, CRTO, GPEN, eWPTX). Pentest é ofício humano.
- Metodologia transparente: o parceiro deve explicar como trabalha (PTES, OWASP, NIST) e definir escopo com você, não entregar uma caixa-preta.
- Comunicação durante o teste: achados críticos devem ser comunicados na hora, não guardados para o relatório final três semanas depois.
- Qualidade de relatório: peça um relatório de exemplo (anonimizado). Ele revela mais sobre o parceiro do que qualquer proposta comercial.
- Reteste incluso: encontrar a falha é metade; confirmar a correção é a outra.
- Ajuste de escopo e contexto: um bom parceiro entende seu negócio e adapta o teste ao seu modelo de ameaça, em vez de aplicar um checklist genérico.
Desconfie de preço muito abaixo do mercado, prazos irrealistas e propostas que prometem "testar tudo" sem definir escopo. Segurança séria não é commodity.
Conclusão: segurança é processo, não evento
Pentest não é um carimbo anual. É a prática de olhar para seus sistemas pela perspectiva de quem quer invadi-los, de forma contínua, metódica e honesta. Em 2026, com superfícies de ataque cada vez maiores e atacantes cada vez mais rápidos, a pergunta não é se você será testado, mas por quem: por um parceiro que documenta e ajuda a corrigir, ou por um adversário que explora e some.
A melhor hora para encontrar a falha é antes de o atacante encontrá-la.
Quer descobrir suas vulnerabilidades antes que um atacante descubra?
A ConstructorTI conduz testes de intrusão ofensivos e defensivos (web, API, infraestrutura, red team e engenharia social) com metodologia transparente, comunicação durante o engajamento, relatórios que falam a língua do time técnico e da liderança, e reteste das correções. Se você quer entender o risco real do seu ambiente e sair com um plano de ação claro, converse com nosso time de CyberSecurity. Encontramos a porta antes que alguém a arrombe.