Teste de invasão para empresas: como contratar e o que exigir

O que é teste de invasão e o que você está comprando

Teste de invasão é um serviço em que especialistas simulam, com autorização formal, ataques reais contra a rede, as aplicações e as APIs de uma empresa para provar quais falhas podem ser exploradas e qual o impacto. Ao contratar, você compra horas de especialista, um método documentado, evidências e a verificação das correções.

Resumo em 5 pontos:

• Contrate o especialista, não a ferramenta. Se a proposta não diz quantos dias de testador estão incluídos e quem executa, provavelmente é uma varredura automatizada.
• Exija na proposta: escopo fechado, modelo (black, gray ou white box), metodologia, regras de engajamento, relatórios executivo e técnico e reteste.
• Desconfie de prazo de entrega em horas, relatório sem passos de reprodução e preço que não varia com o escopo.
• Instituições reguladas pelo Banco Central precisam, desde a Resolução CMN nº 5.274/2025 e a Resolução BCB nº 538/2025, de teste de intrusão anual, independente e com plano de ação.
• Compare fornecedores com o mesmo checklist e peça um relatório de exemplo anonimizado antes de decidir.

Teste de invasão, pentest e teste de intrusão são o mesmo serviço com nomes diferentes. O que muda de um fornecedor para outro é o que está por trás do nome. O mercado brasileiro vende sob o mesmo rótulo desde uma varredura automática exportada em PDF até semanas de trabalho manual de especialistas, e a diferença só aparece quando o relatório chega ou quando um incidente acontece.

E o incidente custa caro. O IBM Cost of a Data Breach 2025 estimou o custo médio de uma violação de dados no Brasil em R$ 7,19 milhões, e o Verizon DBIR 2026 apontou a exploração de vulnerabilidades como vetor inicial de 31% das violações, o principal vetor pela primeira vez na história do relatório. O teste de invasão existe para encontrar essas falhas antes.

Este guia é para quem vai contratar: o que pedir na proposta, como reconhecer um falso teste de invasão, o que o Banco Central e a LGPD exigem e um checklist para comparar empresas. Se você ainda está entendendo o conceito, comece pelo guia pentest: o que é, como funciona e tipos de teste.

Leia também: Pentest: o que é, como funciona e tipos de teste

Teste de invasão em resumo: modelos, alvos e fases

Antes de pedir propostas, alinhe internamente três decisões:

• Modelo: black box (o testador não recebe nada e simula um atacante externo), gray box (recebe credenciais de usuário comum) ou white box (recebe código e arquitetura). Para a maioria das aplicações corporativas, gray box entrega a melhor relação entre realismo e cobertura.
• Alvos: rede externa, rede interna, aplicação web, API, mobile, nuvem ou engenharia social. Cada alvo é orçado separadamente.
• Fases esperadas: escopo, reconhecimento, análise de vulnerabilidades, exploração, pós-exploração, relatório e reteste, seguindo metodologias como OWASP WSTG, PTES e NIST SP 800-115.

O detalhamento de cada modelo, alvo e fase está no guia completo de pentest. Aqui o foco é o que fazer com essas escolhas na hora de contratar.

Quando sua empresa precisa de um teste de invasão

Os gatilhos mais comuns para contratar são:

1. Exigência regulatória ou contratual: Banco Central, PCI DSS, certificação ISO 27001 ou cláusula de cliente grande que pede relatório de pentest recente.
2. Lançamento de aplicação ou API que trata dados pessoais, financeiros ou de saúde.
3. Mudança relevante de ambiente: migração para nuvem, novo provedor, fusão ou aquisição.
4. Depois de um incidente, para descobrir caminhos de ataque residuais.
5. Ciclo anual do programa de segurança, como validação dos controles e da priorização de vulnerabilidades.

Se nenhum desses gatilhos existe e a empresa ainda não sabe quais ativos tem expostos, o primeiro passo costuma ser uma avaliação de vulnerabilidades. A diferença entre os dois serviços está em análise de vulnerabilidades vs pentest.

O que exigir na proposta de teste de invasão

Uma proposta boa responde por escrito a todas as linhas da tabela abaixo. O que não estiver escrito não está contratado.

Peça também um relatório de exemplo anonimizado. Ele mostra, em cinco minutos, se o fornecedor entrega narrativa de ataque com evidência ou uma lista de CVEs copiada de ferramenta.

Sinais de alerta: quando o teste de invasão é só um scan

Varredura automatizada tem valor, mas não é teste de invasão. Os sinais de que a proposta está vendendo uma coisa pelo nome da outra:

• Prazo em horas para um escopo com várias aplicações. Exploração manual leva dias.
• Preço fixo por IP sem perguntar nada sobre as aplicações, os perfis de usuário ou as regras de negócio.
• Nenhuma pergunta sobre credenciais. Sem usuário autenticado não há como testar controle de acesso, que lidera o OWASP Top 10:2025.
• Relatório de exemplo com centenas de achados, sem cadeia de ataque, sem prova de exploração e sem passos de reprodução.
• Severidade igual à do CVSS da ferramenta, sem contexto do ambiente.
• Ausência de reteste ou reteste feito apenas rodando o scanner de novo.
• Ninguém nomeado como responsável técnico pelo trabalho.

Um teste de invasão de verdade termina com frases como "a partir da credencial de um cliente comum, foi possível acessar faturas de outros 12 mil clientes alterando um parâmetro da API". Uma varredura termina com "versão do servidor desatualizada".

Exigências do Banco Central, PCI DSS e LGPD para o teste de invasão

Banco Central: CMN 5.274/2025 e BCB 538/2025

Em 18 de dezembro de 2025, o Conselho Monetário Nacional publicou a Resolução CMN nº 5.274/2025, que altera a Resolução CMN nº 4.893/2021, e o Banco Central publicou a Resolução BCB nº 538/2025, com regras equivalentes para as instituições sob sua regulação. Antes, a norma pedia testes periódicos sem fixar frequência; agora há regra clara. Segundo a análise do escritório Baker McKenzie e os textos compilados pela Okai, as instituições devem:

• realizar teste de intrusão no mínimo uma vez por ano;
• garantir independência e imparcialidade, com execução por empresa especializada independente;
• documentar as vulnerabilidades e estabelecer plano de ação para corrigi-las;
• incluir os resultados dos testes e os planos de ação no relatório anual sobre a implementação do plano de ação e resposta a incidentes, apresentado ao conselho de administração ou, na falta dele, à diretoria;
• manter o relatório do teste por no mínimo cinco anos, conforme os resumos da BCB 538/2025.

O prazo de adequação terminou em 1º de março de 2026. Na prática, a proposta precisa prever relatório que sirva de evidência ao supervisor, declaração de independência e reteste que alimente o plano de ação. O roteiro completo está em pentest e a Resolução CMN 5.274.

PCI DSS 4.0

Quem processa dados de cartão segue o requisito 11.4: pentest interno e externo ao menos a cada 12 meses e após mudanças significativas, com metodologia documentada e correção verificada.

LGPD

A LGPD não cita teste de invasão, mas o artigo 46 exige medidas técnicas aptas a proteger dados pessoais, e a Resolução CD/ANPD nº 15/2024 fixa prazo de três dias úteis para comunicar incidentes relevantes. Um teste recente, com correções comprovadas por reteste, é a forma mais objetiva de mostrar diligência. Lembre que o fornecedor do teste acessa dados pessoais e precisa de cláusulas de operador no contrato.

Leia também: Pentest e Banco Central: o que a Resolução CMN 5.274 exige

Checklist para comparar empresas de teste de invasão

Aplique o mesmo checklist a todas as propostas e marque o que está escrito, não o que foi dito na reunião:

1. O escopo lista cada alvo e o que fica fora?
2. A proposta informa dias de especialista por alvo?
3. O modelo de teste e os perfis de usuário estão definidos?
4. A metodologia está nomeada e aparece no relatório de exemplo?
5. A equipe executora e o revisor estão identificados, com certificações?
6. Há relatório executivo e relatório técnico com passos de reprodução?
7. Existe reunião de apresentação dos resultados com o time técnico?
8. O reteste está incluído, com prazo definido?
9. O fornecedor declara independência em relação ao ambiente testado?
10. As regras de engajamento cobrem janelas, limites e contato de emergência?
11. O contrato trata confidencialidade, guarda e descarte de evidências?
12. O formato do relatório atende ao seu regulador ou auditor?

Uma proposta que responde "sim" a tudo raramente é a mais barata, e não deveria ser. Os critérios para escolher o fornecedor estão em empresas de pentest no Brasil.

Quanto custa um teste de invasão

Não existe preço de tabela confiável, porque o custo é, em essência, dias de especialista. Os fatores que mais pesam são o número e a complexidade dos alvos, o modelo (white box exige mais tempo que black box), a quantidade de perfis de usuário a testar, a necessidade de teste fora do horário comercial e a inclusão de reteste. Cotações muito abaixo da média quase sempre indicam varredura automatizada. A explicação completa está em quanto custa um pentest.

Leia também: Quanto custa um pentest: fatores de preço e o que entra na proposta

Depois do relatório: correção, reteste e teste contínuo

O relatório é o começo do trabalho, não o fim. Três práticas evitam que ele vire um PDF arquivado:

• Transforme cada achado em tarefa com dono e prazo. No Agentic CTEM da EcoTrust, os achados entram no Flow, que acompanha cada exposição até o fechamento validado e mede o Tempo Médio de Correção.
• Use o reteste. Ele fecha o plano de ação com evidência e é o que o auditor quer ver.
• Cubra o intervalo entre testes. A aplicação muda toda semana. O AppSec testa as aplicações web de forma contínua com um agente autônomo que virtualiza um usuário autenticado e cobre integralmente o OWASP Top 10:2025, sem substituir o teste independente exigido pelo regulador. O modelo está em pentest contínuo.

Como a EcoTrust executa o teste de invasão

O serviço de Pentest de Rede e Aplicação da EcoTrust é executado por especialistas e potencializado pela plataforma de IA Agêntica. Aplicando a ele os mesmos critérios desta página:

• Escopo: rede interna, rede externa, aplicações web e APIs REST e GraphQL.
• Modelo: black box, gray box ou white box, conforme o cenário que o cliente quer simular.
• Metodologia: PTES e OWASP, em cinco fases: reconhecimento, varredura e enumeração, exploração, pós-exploração e relatório.
• Duração: de 5 a 10 dias úteis para uma aplicação web típica e de 3 a 15 dias para infraestrutura de rede, com relatório em até 5 dias úteis após a execução.
• Entregáveis: relatório executivo para a diretoria, relatório técnico com evidências, passos de reprodução, classificação CVSS e recomendação de correção, e reunião de debriefing com o time técnico.
• Reteste: uma rodada em D+30 ou D+60 sem custo adicional, com relatório atualizado do status de cada vulnerabilidade.
• Operação: teste com produção ativa, com janelas e limites de carga combinados; homologação quando o cliente preferir.
• Conformidade: relatórios preparados para PCI DSS, ISO 27001, LGPD, CVM e Resolução BCB 538/2025.
• Continuidade: os achados alimentam o Radar, o VulScan e o Flow, para que a correção seja acompanhada depois do relatório.

A EcoTrust soma 18 anos de mercado, mais de 3.500 incidentes atendidos e mais de 100 clientes ativos. Preço não é publicado, porque depende do escopo.

Perguntas Frequentes

Teste de invasão e pentest são a mesma coisa?

Sim. Pentest é a abreviação de penetration test, e teste de invasão, teste de intrusão e teste de penetração são traduções do mesmo serviço. As normas do Banco Central usam "teste de intrusão".

Quais empresas oferecem teste de invasão no Brasil?

Há consultorias especializadas, integradores e fabricantes de plataforma que mantêm times de pentest. Em vez de procurar uma lista, compare as propostas com o checklist desta página: escopo, dias de especialista, metodologia, equipe nomeada, relatórios, reteste e independência. Os critérios detalhados estão em empresas de pentest no Brasil.

Com que frequência fazer teste de invasão?

Pelo menos uma vez por ano e após mudanças relevantes. Para instituições reguladas pelo Banco Central, o teste anual e independente é obrigatório desde a Resolução CMN nº 5.274/2025. O PCI DSS exige o mesmo intervalo de 12 meses para ambientes de cartão.

O teste de invasão pode derrubar sistemas?

O risco é controlado pelas regras de engajamento: janelas de teste, limites de carga, exclusão de negação de serviço e contato de emergência. Quando o risco é inaceitável, o teste pode rodar em homologação idêntica à produção.

Qual a diferença entre teste de invasão e red team?

O teste de invasão busca o máximo de falhas exploráveis em um escopo e prazo definidos, com o time de defesa avisado. O red team persegue um objetivo específico, de forma furtiva e por mais tempo, e mede também a capacidade de detecção e resposta.

Posso usar só ferramentas automáticas no lugar do teste de invasão?

Para o regulador, não: as normas do Banco Central pedem teste por empresa especializada independente. Ferramentas automatizadas e agentes de IA são ótimos para cobrir o intervalo entre testes, mas não substituem o especialista em lógica de negócio e encadeamento de falhas.

Conclusão: contrate pelo que está escrito

Teste de invasão é um serviço de especialista, e a qualidade dele está no esforço, no método e nas evidências, não no nome do produto. Feche o escopo, exija dias de testador, metodologia, relatórios executivo e técnico, reteste e declaração de independência, e compare as propostas com o mesmo checklist.

Para quem é regulado pelo Banco Central, 2026 é o primeiro ano com regra explícita: teste anual, independente, com plano de ação e evidências guardadas. Quem contratar pensando nessas exigências desde a proposta vai chegar à auditoria com o trabalho pronto.

---

Referências

• Baker McKenzie, "Brazil: BCB and CMN establish additional cyber security requirements", dezembro de 2025. bakermckenzie.com
• Okai, texto da Resolução CMN nº 5.274/2025 e da Resolução BCB nº 538/2025, 18 de dezembro de 2025. okai.com.br
• Monitor Mercantil, "Instituições financeiras devem se adaptar a novas exigências de segurança cibernética", 2026. monitormercantil.com.br
• Verizon, "2026 Data Breach Investigations Report", via Help Net Security, maio de 2026. helpnetsecurity.com
• IBM, "Cost of a Data Breach Report 2025", resultados do Brasil, via Tecnoblog, 2025. tecnoblog.net
• OWASP, "Web Security Testing Guide" e "OWASP Top 10:2025". owasp.org
• PCI Security Standards Council, "PCI DSS v4.0", requisito 11.4. pcisecuritystandards.org
• NIST, "SP 800-115: Technical Guide to Information Security Testing and Assessment". nist.gov
• ANPD, Resolução CD/ANPD nº 15/2024; Brasil, Lei nº 13.709/2018 (LGPD). gov.br/anpd