Pentest: o que é, como funciona e quando sua empresa precisa

Pentest, ou teste de invasão, é uma simulação controlada de ataque cibernético conduzida por especialistas para descobrir as falhas de segurança de uma empresa antes que um criminoso as descubra. Em vez de esperar o ataque acontecer, a organização contrata alguém para tentar invadir, com autorização e método definidos, e recebe um relatório do que precisa ser corrigido.

A diferença entre um pentest e um ataque real está no consentimento e no objetivo. O pentester tem autorização formal, opera dentro de um escopo acordado e documenta tudo o que encontra. O objetivo não é causar dano, é demonstrar onde o dano seria possível.

Neste guia você vai entender o que é um pentest, como ele funciona na prática, quais são os tipos, quando fazer e, principalmente, o que acontece depois que o relatório chega às suas mãos.

Por que sua empresa precisa de um pentest

O volume de ataques no Brasil deixou de ser um problema abstrato. Segundo o relatório do Cenário Global de Ameaças da Fortinet, o país registrou 753,8 bilhões de tentativas de ataques cibernéticos ao longo de 2025, incluindo 3,6 bilhões de tentativas de exploração de vulnerabilidades.

Em escala individual, o número é ainda mais concreto. Levantamento da Check Point Research aponta que, em junho de 2026, cada organização brasileira sofreu em média 4.001 tentativas de ciberataque por semana, índice 44% superior ao mesmo período do ano anterior e acima da média mundial.

Há um dado nesse cenário que muda a lógica de defesa: o tempo médio entre a divulgação de uma vulnerabilidade e sua exploração caiu de mais de quatro dias para algo entre 24 e 48 horas, com casos de exploração poucas horas após a publicação da falha. Isso significa que uma vulnerabilidade conhecida e não corrigida no seu ambiente tem janela de exposição curtíssima.

O pentest responde a uma pergunta que nenhum relatório de ferramenta responde sozinho: das falhas que existem no meu ambiente, quais são realmente exploráveis e o que um atacante conseguiria fazer com elas?

Há ainda o componente regulatório. Normas como ISO 27001 e PCI-DSS pedem testes de segurança periódicos, e a Lei Geral de Proteção de Dados, no artigo 46, exige medidas técnicas para proteger dados pessoais. Testar a eficácia dessas medidas é parte de demonstrar diligência.

Como funciona um pentest na prática

Um pentest não é uma varredura automatizada nem uma tentativa aleatória de invasão. É um processo estruturado, guiado por metodologias reconhecidas internacionalmente, como o OWASP para aplicações web, o PTES (Penetration Testing Execution Standard) e o NIST SP 800-115.

O PTES, que é a referência mais abrangente, define sete fases. Na prática, o trabalho costuma se organizar assim:

1. Planejamento e definição de escopo. Antes de qualquer teste, define-se o que será testado, o que fica de fora, quais horários são permitidos e quais ações são autorizadas. Essa fase é contratual e protege as duas partes.
2. Coleta de informações. O pentester reúne tudo o que consegue descobrir sobre o alvo, de domínios e endereços de rede a tecnologias em uso e informações públicas sobre a empresa. É a fase de reconhecimento.
3. Análise de vulnerabilidades. Com o mapa em mãos, identificam-se as falhas potenciais, combinando ferramentas automatizadas com análise manual.
4. Exploração. Aqui está o que diferencia o pentest de um simples scan. O especialista tenta efetivamente explorar as falhas encontradas, para confirmar se são reais e não falsos positivos.
5. Pós-exploração. Uma vez dentro, até onde seria possível chegar? Essa fase avalia o impacto real: acesso a dados sensíveis, movimentação lateral pela rede, escalada de privilégios.
6. Relatório. Documentação dos achados, com priorização por risco e recomendações de correção. Um bom relatório tem duas camadas: executiva, para a liderança, e técnica, para quem vai corrigir.
7. Reteste. Após as correções, valida-se que as falhas foram efetivamente resolvidas e que a correção não abriu problemas novos.

 

ATENÇÃO AO RETESTE O reteste é a fase que mais varia entre fornecedores. Muitos tratam como serviço à parte, cobrado adicionalmente. Sem reteste, você tem a lista de problemas mas não tem a confirmação de que foram resolvidos. Na prática, o ciclo fica incompleto. Ao pedir propostas, pergunte explicitamente se o reteste está incluso no valor. É uma das perguntas que mais diferencia fornecedores.

 

Tipos de pentest

Os tipos de pentest se organizam em duas classificações que costumam ser confundidas. A primeira responde o que está sendo testado. A segunda, quanta informação o pentester recebe antes de começar.

Por alvo: o que será testado

• Rede externa. Avalia o perímetro exposto à internet: sites, servidores públicos, VPN, serviços de e-mail. É por onde a maioria dos ataques começa.
• Rede interna. Simula um atacante que já está dentro, seja um invasor que rompeu o perímetro ou alguém com acesso legítimo mal-intencionado.
• Aplicação web. Foca nas falhas da aplicação, orientado pelo OWASP Top 10: controle de acesso quebrado, injeção, falhas de autenticação.
• Mobile e API. Avalia aplicativos e as interfaces que os alimentam. APIs mal protegidas são um vetor cada vez mais comum.
• Nuvem. Analisa configurações em AWS, Azure ou Google Cloud, onde a má configuração é a causa mais frequente de exposição.
• Engenharia social. Testa o fator humano com phishing e outras técnicas controladas, medindo como as pessoas reagem a uma tentativa real.

Por abordagem: quanta informação o pentester recebe

 

Abordagem	O que o pentester recebe	Quando faz sentido
Black box	Nenhuma informação prévia, apenas o alvo	Simular um atacante externo real, sem conhecimento interno
Grey box	Informação parcial, como credenciais de usuário comum	Equilíbrio entre realismo e cobertura. É o mais comum
White box	Acesso completo, incluindo código e arquitetura	Cobertura máxima, ideal para sistemas críticos

 

Uma observação técnica que vale registrar: no black box, se o relatório conclui que nada foi encontrado, a pergunta correta não é “meu ambiente é seguro?”, e sim “o alvo foi testado com a profundidade adequada?”. Sem conhecimento prévio, o pentester pode simplesmente não ter alcançado áreas relevantes dentro do tempo contratado.

Para uma primeira contratação, o grey box costuma entregar o melhor equilíbrio entre custo, realismo e cobertura. Para aprofundar, veja nosso guia sobre [tipos de pentest e fases].

Pentest e análise de vulnerabilidade: qual a diferença

Essa é uma das confusões mais comuns, e ela tem consequência prática: empresas contratam um scan achando que fizeram um pentest.

A análise de vulnerabilidade é automatizada. Uma ferramenta varre o ambiente comparando o que encontra com uma base de falhas conhecidas e devolve uma lista. É rápida, barata, pode ser executada com frequência e serve muito bem para higiene contínua. Mas gera falsos positivos e não avalia impacto: ela diz que a porta pode estar destrancada, não se alguém consegue entrar e o que faria lá dentro.

O pentest é conduzido por pessoas. O especialista combina falhas que isoladamente pareceriam menores, encontra caminhos que nenhuma ferramenta mapearia e avalia o que um atacante realmente conseguiria fazer. É mais caro e mais demorado, e por isso não substitui a varredura contínua.

Na prática, os dois se complementam: varredura frequente para manter o ambiente higienizado, pentest periódico para validar a defesa contra alguém pensando como atacante.

Quando fazer um pentest

Não existe uma regra única, mas há gatilhos claros:

• Periodicamente, com pelo menos uma execução anual como prática comum de mercado
• Após mudanças relevantes na infraestrutura, como migração para nuvem ou troca de arquitetura
• Antes de lançar um produto, aplicação ou funcionalidade que trate dados sensíveis
• Quando exigido por auditoria, certificação ou por um cliente corporativo
• Depois de um incidente, para verificar se o vetor usado foi realmente fechado

Empresas em setores regulados, como financeiro e saúde, costumam ter exigências de frequência mais rígidas, definidas pela própria norma aplicável.

O que influencia o preço de um pentest

Não existe valor de tabela para pentest, e desconfie de quem oferece um. O preço varia conforme fatores que precisam ser dimensionados antes:

• Escopo. Quantas aplicações, faixas de rede, sistemas e ambientes entram no teste. É o fator de maior peso.
• Profundidade. Um teste automatizado com validação manual custa menos que uma simulação de adversário real conduzida ao longo de semanas.
• Tipo de ambiente. Testar uma aplicação web tem complexidade diferente de testar uma infraestrutura híbrida com nuvem e rede interna.
• Abordagem. White box costuma exigir mais horas de análise, já que há código a revisar. Black box exige mais tempo de reconhecimento.
• Reteste. Se está incluso ou cobrado à parte, o que muda a comparação entre propostas aparentemente equivalentes.

Ao comparar orçamentos, o valor isolado diz pouco. Vale conferir o que está sendo entregue: quantas horas de teste manual, se o relatório tem camada executiva, se há reteste e quais certificações a equipe possui. Duas propostas com preços muito distintos podem estar descrevendo trabalhos completamente diferentes.

O que vem depois do relatório

Aqui está a parte que a maioria dos conteúdos sobre pentest não aborda, e que faz toda a diferença no resultado do investimento.

O pentest é uma fotografia. Ele mostra a segurança do seu ambiente naquele momento específico. Amanhã, uma atualização de sistema, uma nova integração ou uma vulnerabilidade recém-publicada em um componente que você já usava podem abrir uma porta que não existia durante o teste.

Isso não invalida o pentest. Significa apenas que ele resolve uma parte do problema, e que o ciclo precisa continuar:

1. Priorizar com critério de negócio. A severidade técnica de uma falha não é a mesma coisa que o risco para a sua operação. Uma vulnerabilidade classificada como média em um sistema que processa pagamentos pode ser mais urgente que uma alta em um ambiente isolado de testes.
2. Corrigir e validar. Executar as correções e confirmar com reteste que funcionaram.
3. Monitorar continuamente. Como o ambiente muda todos os dias, a detecção precisa ser contínua. É o papel de um [SOC gerenciado], que monitora o ambiente 24 horas por dia e identifica tentativas de exploração em tempo real.

O erro mais caro em segurança ofensiva não é deixar de fazer o pentest. É fazer o pentest, arquivar o relatório e não corrigir nada. Nesse caso, a empresa pagou para ter documentado por escrito exatamente onde está vulnerável, sem reduzir o risco.

Quer saber quanto custa um pentest para o seu ambiente?

A Viwsec conduz pentests com metodologia reconhecida, relatório executivo em português e reteste incluso no valor. Cotação em até 24 horas.

Solicitar cotação de pentest

Em resumo

Pentest é uma simulação autorizada de ataque, conduzida por especialistas, para descobrir e validar falhas exploráveis antes que um criminoso as encontre. Segue metodologias reconhecidas, organiza-se em fases que vão do reconhecimento ao relatório, e se divide em tipos conforme o alvo e conforme a informação disponível ao testador.

Diferente de uma varredura automatizada, o pentest avalia impacto real e encontra caminhos que ferramentas não mapeiam. E diferente do que muita gente imagina, seu valor não está no relatório: está no que acontece depois dele, quando as correções são executadas, validadas por reteste e sustentadas por monitoramento contínuo.

Perguntas frequentes

Qual a diferença entre pentest e teste de invasão?

São a mesma coisa. Pentest é a abreviação de penetration test, que em português vira teste de invasão ou teste de penetração. No Brasil, documentos regulatórios costumam usar teste de invasão, enquanto o mercado técnico prefere pentest.

Quanto tempo leva um pentest?

Depende do escopo. Um ambiente de pequena ou média empresa costuma levar de uma a três semanas, incluindo a elaboração do relatório. Escopos maiores, com muitos sistemas ou múltiplos tipos de teste, levam mais tempo.

Pentest pode derrubar meu sistema?

Um pentest bem conduzido é planejado para não causar indisponibilidade. O escopo e as janelas de execução são acordados previamente, e testes com risco de impacto são feitos com cuidado adicional ou em ambiente de homologação.

Com que frequência devo fazer pentest?

A prática comum é ao menos uma vez por ano, e sempre após mudanças significativas na infraestrutura ou no lançamento de aplicações novas. Setores regulados podem ter exigências de frequência maior.

Pentest substitui antivírus ou firewall?

Não. O pentest é uma avaliação, não uma proteção. Ele mostra onde suas defesas falham para que você as corrija. As ferramentas de proteção continuam necessárias, e o pentest ajuda inclusive a validar se estão bem configuradas.

Qual a diferença entre pentest e análise de vulnerabilidade?

A análise de vulnerabilidade é automatizada e lista falhas conhecidas, com falsos positivos e sem avaliar impacto. O pentest é conduzido por especialistas que exploram as falhas de verdade e medem o que um atacante conseguiria fazer. São complementares.

Fontes

Fortinet. Relatório do Cenário Global de Ameaças 2026, FortiGuard Labs: 753,8 bilhões de tentativas de ataque no Brasil em 2025 e redução do tempo médio de exploração de vulnerabilidades.

Check Point Research. Relatório de Inteligência de Ameaças, junho de 2026: média de 4.001 tentativas de ataque por semana por organização brasileira.

OWASP. OWASP Top 10 e metodologias de teste de segurança em aplicações web.

PTES. Penetration Testing Execution Standard: as sete fases de um teste de invasão.

NIST. Special Publication 800-115, Technical Guide to Information Security Testing and Assessment.

BRASIL. Lei nº 13.709/2018 (Lei Geral de Proteção de Dados Pessoais), artigo 46.