Quanto você perderia se fosse hackeado amanhã?Achados verificados. Zero ruído de scanner.
A gente encontra por onde podem te atacar, fecha a brecha e mostra a prova. Quem faz são os Lops: pessoas, não um robô disparando alertas.
Pentest multidomínio e monitoramento contínuo (CTEM) sob autorização assinada e escopo fixado por hash. Cada achado é verificado e assinado por um Lop, com PoC, correção e reteste.
Só olhamos o que é público. Para ir além, você assina uma autorização antes.
Exemplo: “qualquer um pode mandar e-mail como o seu CEO”Exemplo: DMARC p=none · 1 CNAME órfão
Farejamos. Cavamos. Fechamos.
1
Encontramos
O que pode dar errado e quanto isso custaria em dinheiro.
Bateria automatizada, uma passada criativa de um Lop e revisão adversarial de falsos positivos.
2
Corrigimos
Quem fecha é um Lop ou a sua equipe. Você escolhe.
Correção por achado com PoC reproduzível. Lop Fix por hora ou preço fechado.
3
Provamos
Evidência para a seguradora, o auditor ou aquele cliente grande que pede.
Reteste sobre o mesmo escopo fixado (sha256), com trilha assinada.
O que te preocupa?
Comece pelo que pode acontecer com você. Cada caso mostra o risco, o custo e como a gente fecha.
Baseado em um achado real de uma das nossas análises, anonimizado. Uma revisão por checklist diz que está seguro; nós encontramos mesmo assim.
Severidade: Alta · CWE-639
Dava para baixar as faturas de outros clientes, mesmo o sistema parecendo seguro à primeira vista
IDOR na exportação em PDF: a autorização estava na visualização, não no download
O que pode acontecer
A tela de faturas até bloqueava quem não era o dono. Mas o link de download em PDF, gerado por outra parte do sistema, entregava o arquivo de qualquer cliente para quem tivesse o link.
Quanto custa
Um vazamento de dados custa em média US$4,99 milhões, um recorde segundo a IBM. E a lei obriga a avisar: na União Europeia são 72 horas para notificar o regulador.Fontes: IBM Cost of a Data Breach 2026 (média global); GDPR, artigo 33.
O que fazer
Conferir quem está pedindo o arquivo em cada parte do sistema, não só na tela principal. Um Lop fechou a falha e testou de novo.
Evidência
GET /app/invoices/9f3c-e21 403 # visualização: valida o dono
GET /files/invoices/9f3c-e21.pdf 200 OK # download: sem checagem
→ ██████ · ████@████ · items: [...]
Impacto
Os IDs são UUID (não enumeráveis) e a visualização valida o dono, então o teste direto dá 403. Mas o UUID vazava em uma avaliação pública, e /files/…pdf, servido por outro controlador, não revalida a propriedade (CWE-639). Leitura de dados pessoais de qualquer cliente.
Correção
Autorização no nível do objeto em todos os controladores que tocam o recurso, inclusive a exportação. UUID não serve como controle de acesso.
Ele fareja o que ninguém vê, entra onde os outros não entram e conhece cada saída da toca. É assim que trabalham os Lops, o nosso time: dez especialistas em segurança com certificações que você pode conferir (OSCP, OSWE, CISSP, entre outras). As ferramentas dão o sinal. Quem dá o veredito é um Lop, e a assinatura dele vai no fim de cada relatório.
Quanto eu perco é a nossa calculadora de prejuízo por ataque cibernético. Ela estima o custo de cada cenário, do ransomware à fraude de boletos, e cada número mostra a fonte.