Com cada vez mais gente conectada o tempo todo, comprando, pagando contas e trocando informações pelo celular, a segurança da informação deixou de ser um detalhe de infraestrutura para virar um setor próprio dentro das empresas. Bruno Bacelar, Analista de Cyber Security Sênior com foco em Pentest, conversou sobre como esse campo se estruturou no Brasil, os bastidores de um teste de invasão e o que muda quando uma empresa sofre um ataque de verdade.
Bruno Bacelar é Analista de Segurança com experiência em servidores Windows e Linux, formado em redes de computadores e detentor de certificações como ISO 27002 e Cybersecurity Foundation. Atua com foco em Cyber Security e Pentest, testando aplicações e ambientes corporativos na condição de atacante para identificar vulnerabilidades antes que sejam exploradas de verdade. Também trabalhou com consultoria em segurança, período em que acompanhou de perto os problemas de senha e autenticação que se espalharam pelas empresas durante a migração forçada para o home office.
Durante muito tempo, segurança da informação era tratada como uma responsabilidade difusa dentro do time de infraestrutura, sem um setor dedicado. Bruno descreve a mudança: hoje a área aparece separada, tratando risco, impacto e vulnerabilidade em conjunto com a TI, mas com identidade própria. O crescimento do número de aplicações e serviços web expostos à internet tornou a superfície de ataque maior, e o principal risco de uma empresa não é técnico — é reputacional, já que qualquer incidente obriga a empresa a se justificar publicamente.
"Hoje você tem já o setor como destaque dentro da empresa, totalmente em algumas empresas até, apesar de trabalhar junto com a TI, junto com a tecnologia, ele é um setor totalmente apartado, onde você vai tratar o risco, você vai tratar impactos, você vai tratar ali vulnerabilidades dentro do ambiente da empresa" por Bruno Bacelar
Quando a validação de segurança só acontece depois que a aplicação já está pronta, corrigir uma falha estrutural pode significar recomeçar o desenvolvimento do zero. É esse problema que o conceito de DevSecOps ataca: colocar a segurança como parte da esteira, ao lado do desenvolvimento e da operação, em vez de relegá-la a uma etapa final. Bruno é claro sobre o papel do analista nesse processo — ele aponta o que precisa mudar, mas normalmente não é quem corrige o código.
"O DevSecOps ele traz esse conceito, ele traz essa ideia onde você coloca a segurança como parte da esteira de desenvolvimento e aí você não vai se preocupar somente com ela lá no fim, quando você já está com tudo pronto" por Bruno Bacelar
Um teste de invasão acontece dentro de uma janela de horas e mostra uma foto do ambiente naquele momento — não garante nada sobre o dia seguinte. Bruno separa dois conceitos que costumam ser confundidos: o pentest, pontual, e a gestão de vulnerabilidades, contínua, que usa ferramentas automatizadas para reavaliar o ambiente periodicamente. Sem esse segundo processo, uma empresa que testa uma vez por ano fica exposta a todas as falhas descobertas nos meses seguintes.
"A análise de vulnerabilidade por si só ela não traz o conforto, mas quando você faz a gestão de vulnerabilidade, que aí você vai tratar periodicamente as vulnerabilidades do seu ambiente, você consegue mitigar um pouco mais" por Bruno Bacelar
Antes de qualquer exploração técnica, quem ataca — seja um pentester autorizado ou um invasor de verdade — investe a maior parte do tempo reunindo dados sobre a empresa: cargos, hierarquia, perfis em redes sociais. Perfis falsos de LinkedIn, grupos de Telegram e Discord viram fontes de informação para dar credibilidade a uma abordagem de engenharia social. Bruno chama essa fase de "information gathering" e defende que ela é o que realmente define se um teste — ou um ataque real — vai funcionar.
"O atacante ele busca todas as informações possíveis referente à empresa, cargos são importantes, cargo de TI, cargo de SI, cargo de diretoria, ele busca esse tipo de perfil para tentar extrair o máximo de informação daquele perfil" por Bruno Bacelar
A lei brasileira segue o modelo da GDPR europeia e trabalha com duas categorias de dado: o pessoal, que identifica alguém (CPF, data de nascimento), e o pessoal sensível, que pode expor ou constranger (saúde, religião, posicionamento político). O efeito prático, segundo Bruno, é que empresas que antes falavam pouco de segurança da informação passaram a ser cobradas de fato, com sanções previstas para vazamentos.
"Ela traz duas ideias: o dado pessoal e o dado pessoal sensível... e as empresas em contrapartida elas têm que te garantir que essa informação está segura com ela" por Bruno Bacelar
"Segurança da informação para nós, para a pessoa do dia a dia, a gente tem que criar o hábito de duvidar de tudo aquilo que a gente mexe e faz" por Bruno Bacelar