O que o time jurava ter. O que a gente encontrou.

O time jurava ter

PerdaMulta + margem

A realidade

Nada disso importou. Uma conta comum — dessas grátis — pediu "a lista de clientes" pela porta dos fundos da API. O sistema entregou: base inteira, notas fiscais, faturamento, margem. O DLP ficou cego, porque o vazamento saiu autenticado, parecendo tráfego normal. MFA tranca a porta da frente; não adianta, se a dos fundos está escancarada.

→ Seus preços e sua margem na mão do concorrente. E a ANPD batendo.

Broken Access Control (BOLA/IDOR) em endpoints autenticados; ausência de RBAC server-side; DLP sem inspeção de payload de API.

O time jurava ter

PerdaLinha parada

A realidade

"Isolada" era só uma promessa: TI e chão de fábrica no mesmo cabo. Do notebook do RH dava para conversar com o CLP que controla a esteira. Um ransomware que entra por um anexo não para no financeiro — desce até a máquina e desliga a produção. O backup? Diário, sim. Testado? Nunca.

→ Cada hora de fábrica parada tem preço. E há gente perto das máquinas.

Convergência TI/OT em VLAN plana; PLC/SCADA (Modbus/S7) alcançáveis da sub-rede corporativa; backups sem teste de restauração nem imutabilidade.

O time jurava ter

PerdaLicença + fraude

A realidade

O certificado PCI estava na parede. As chaves de acesso ao ambiente estavam no Git, em texto puro, no histórico de commit. E o ambiente de "teste" — aquele que ninguém protege — rodava com número de cartão real de cliente. O SIEM via tudo e alertava nada: faltava a regra que importava.

→ Fraude, perda da certificação (não poder mais operar) e o Bacen na linha.

Secrets hardcoded/versionados; tokenização parcial em fluxo legado; PAN real em homologação; SIEM sem use cases de detecção.

O time jurava ter

PerdaVida + paralisia

A realidade

Prontuário é o dado que a lei mais protege e o crime mais valoriza. Estava atrás de um login sem segunda camada, num sistema legado sem atualização há anos. O backup existia; a restauração, ninguém tinha testado. No dia do ransomware, "a gente tem backup" virou "a gente achava que tinha".

→ Risco à vida do paciente, dado sensível vazado, atendimento parado.

MFA ausente em acesso clínico; legado sem patch; backups sem teste de DR; dado sensível não segregado/criptografado (LGPD art. 11).

O time jurava ter

PerdaANPD 72h

A realidade

"Isolado" era o que achavam. Uma conta grátis, criada em segundos, sem verificar e-mail, virou passe livre: carteira de clientes, 46 fornecedores e 84 negociações de compra em andamento. E não parou aí: dava para assumir a conta de um executivo por força bruta no reset de senha, e ligar ou desligar produtos de empresas concorrentes na mesma plataforma. Foram 14 buracos — o pior com nota 9.9 de 10.

→ Obrigação de avisar o regulador em 72h. Estratégia de compras exposta.

Broken Access Control + JWT sem exp + RBAC bypass no GraphQL (100+ mutations admin) + account takeover por brute-force do reset + CORS irrestrito.

O time jurava ter

PerdaCascata

A realidade

E estavam seguros. O problema não foi a porta deles — foi a do fornecedor. Uma chave de integração de um parceiro, esquecida, sem expirar, sem limite de escopo. O atacante entrou por ela, andou de lado até o coração do sistema, e o ransomware de dupla extorsão parou não só a empresa: parou todos os clientes que dependiam dela.

→ Um elo fraco leva dezenas de contratos embora. E a culpa aterrissa em você.

Credencial de terceiro sem rotação nem escopo; ausência de segmentação por identidade para integrações; movimentação lateral; ransomware double-extortion.