// Segurança por setor
Atendemos qualquer setor. Estes são onde a gente mais testa.
O tipo de ataque muda conforme o que a sua empresa tem de valioso. Por isso o teste é desenhado para o seu negócio, não copiado de um checklist. Abaixo, o que costuma estar aberto em cinco setores — e um caso real de cada um.
A Praetor atende qualquer setor. Estes cinco — SaaS, e-commerce, indústria, saúde e financeiro — são onde mais testamos, e cada um tem um padrão de brecha próprio: API que responde demais, rede de fábrica no mesmo cabo do escritório, prontuário atrás de um login sem segunda camada. Abaixo, o que costuma estar aberto em cada um.
// Cinco exemplos
O que a gente encontra em cada um.
Não é lista teórica: é o que aparece de verdade quando a gente testa empresas desses setores. Se o seu não está aqui, o método é o mesmo.
SaaS e startups de tecnologia Contrato enterprise
Não é crítica — é o padrão. Produto primeiro, cliente primeiro, segurança quando der. O problema é que o primeiro cliente grande chega com um questionário de 80 perguntas, e aí não dá mais pra deixar pra depois.
O questionário de segurança do cliente grande costuma pedir evidência de pentest recente. Sem isso, o contrato trava no jurídico dele.
O que costuma estar aberto
- API que responde demais O endpoint autentica o usuário mas esquece de verificar se ele pode ver aquele dado. É a falha nº 1 que encontramos em SaaS — e a que expõe a base inteira de clientes.
- Homologação com dado real O ambiente de teste, que ninguém protege, rodando com cadastro verdadeiro. Costuma ser mais fácil de invadir que produção e guarda a mesma informação.
- Chave de integração eterna Token criado pra um parceiro há dois anos, sem prazo de validade e sem limite de escopo. Se vazar, ninguém percebe — porque tecnicamente é um acesso legítimo.
- Cadastro sem verificação Conta grátis criada em segundos, sem confirmar e-mail. Num caso real, foi a porta de entrada para 84 negociações de compra de clientes.
- Multi-tenant vazando entre contas O filtro de qual empresa vê o quê aplicado no front, não no servidor. Um parâmetro trocado e você vê o dado do concorrente.
- Segredo no repositório Credencial commitada em texto puro que continua no histórico do Git mesmo depois de removida do código atual.
Uma conta grátis, criada em segundos sem verificar e-mail, virou passe livre: carteira de clientes, 46 fornecedores e 84 negociações em andamento. Dava até para assumir a conta de um executivo por força bruta no reset de senha.
Perguntas de quem é deste setor
Quando faz sentido fazer o primeiro pentest?
Antes do primeiro cliente enterprise pedir — porque aí vira urgência com prazo. Na prática: quando você passa de umas 50 empresas usando, ou quando começa a guardar dado sensível, ou quando entra no radar de compliance de alguém.
Vocês testam em produção?
Preferimos homologação quando ela é fiel. Se não for, testamos produção dentro de janela combinada, sem carga e sem destruir dado. O escopo é definido por escrito antes.
Meu SaaS é multi-tenant. Isso muda algo?
Muda tudo — e é justamente onde mais achamos problema. Testamos especificamente o isolamento entre contas: se o tenant A consegue ver, editar ou apagar dado do tenant B.
Por onde este setor costuma começar
E-commerce e varejo Custo por hora parada
Todo mundo pensa em cartão. Mas o que costuma sair primeiro é a lista de clientes, o histórico de compra e — o que ninguém protege — sua tabela de preço e sua margem por produto.
Some faturamento médio por hora no pico e multiplique pelo tempo de recuperação. Esse número costuma ser maior que o do vazamento.
O que costuma estar aberto
- A base inteira por uma API Num caso real, uma conta comum pediu "a lista de clientes" pela API e o sistema entregou: base completa, notas fiscais, faturamento e margem.
- Margem e tabela de preço Não é dado pessoal, então ninguém protege. Mas é exatamente o que o concorrente pagaria para ter.
- Checkout e meio de pagamento Integração com gateway feita às pressas, log guardando o que não devia, token de pagamento sem expiração.
- Painel administrativo exposto O `/admin` acessível da internet, sem segunda camada, com senha que o time inteiro conhece.
- Loja parada em pico de venda Não é vazamento, é indisponibilidade — e custa por hora. Black Friday parada é prejuízo que não volta.
- Plugin e tema de terceiro Cada extensão instalada é código de outra pessoa rodando no seu servidor. Um plugin desatualizado é porta aberta.
Tinha hardening CIS, MFA obrigatório, DLP ativo e criptografia em repouso. Nada disso importou: o vazamento saiu autenticado, parecendo tráfego normal, e o DLP ficou cego.
Perguntas de quem é deste setor
Tenho PCI DSS. Não basta?
PCI cuida especificamente do dado de cartão. Não cobre sua base de clientes, sua margem, seu painel administrativo nem a disponibilidade da loja. São escopos diferentes.
Dá pra testar sem risco de derrubar a loja?
Sim. Teste de carga e negação de serviço ficam fora do escopo por padrão — só entram se você pedir explicitamente e em janela combinada.
E se eu uso uma plataforma pronta?
Aí o teste foca no que é seu: integrações, plugins, customizações, painel e configuração. A plataforma responde pela base dela; você responde pelo que montou em cima.
Por onde este setor costuma começar
Indústria e manufatura Segurança de pessoas
Na maioria das fábricas que avaliamos, a rede "isolada" da produção dividia o mesmo cabo do escritório. Do notebook do RH dava para conversar com o equipamento que controla a esteira.
Aqui o risco ultrapassa o financeiro: há gente trabalhando perto das máquinas. Isso muda a prioridade de tudo.
O que costuma estar aberto
- A rede "isolada" que não é Isolamento que existe no diagrama mas não na configuração. VLAN plana, mesma faixa, sem regra entre segmentos.
- CLP e SCADA alcançáveis Equipamento industrial falando Modbus ou S7 respondendo a partir da sub-rede corporativa. Sem autenticação, porque o protocolo nasceu sem ela.
- Ransomware que desce Entra por anexo no financeiro e não para ali: caminha até a máquina e desliga a produção. O prejuízo vira hora parada, não byte vazado.
- Backup diário nunca testado Roda todo dia, log verde, e ninguém nunca restaurou. No dia do incidente, descobre-se que não cobria o sistema crítico.
- Acesso remoto de fornecedor O integrador que instalou a máquina mantém acesso remoto — muitas vezes com credencial compartilhada e sem prazo.
- Legado sem atualização Sistema que roda a produção há 12 anos, em versão que não recebe patch. Não dá pra simplesmente atualizar; dá pra isolar e monitorar.
Firewall perimetral, antivírus, VPN e rede de produção "isolada". Do notebook do RH dava para conversar com o CLP que controla a esteira. O backup era diário — e nunca tinha sido testado.
Perguntas de quem é deste setor
Vocês mexem no equipamento de produção?
Não sem autorização explícita e acompanhamento do time de manutenção. Em ambiente OT, a regra é mapear e demonstrar o alcance — não explorar. Segurança de pessoas vem antes de qualquer prova técnica.
Vocês entendem de OT e SCADA?
Trabalhamos com uma rede de parceiros especializados em OT, SCADA e CLP para cobrir o que a TI tradicional não alcança. A Praetor cuida da camada corporativa e da convergência; o parceiro entra no chão de fábrica.
Dá pra fazer sem parar a produção?
Sim. O levantamento e o teste da camada corporativa rodam com a fábrica funcionando. Qualquer atividade que toque o ambiente de produção acontece em janela combinada com a manutenção.
Por onde este setor costuma começar
Saúde — clínicas, laboratórios e operadoras R$ 11,43 milhões
Dado de saúde é pessoal sensível: tem regra própria na LGPD, exige base legal específica e, quando vaza, custa mais caro que em qualquer outro setor do país.
É o custo médio de uma violação de dados no setor de saúde no Brasil — o mais alto de todos os setores. (IBM, 2025)
O que costuma estar aberto
- Acesso clínico sem segunda camada Prontuário atrás de usuário e senha apenas, em sistema que a equipe inteira acessa. Uma credencial vazada abre tudo.
- Sistema legado sem patch Software de gestão que não recebe atualização há anos porque "funciona" e trocar é caro. Cada vulnerabilidade conhecida continua aberta.
- Dado sensível sem segregação Prontuário, exame e imagem no mesmo lugar que dado administrativo, com o mesmo nível de acesso.
- Backup em nuvem nunca restaurado Existe, roda, e ninguém testou. Em ransomware, atendimento parado é risco clínico, não só financeiro.
- Compartilhamento com terceiros Laboratório, convênio, telemedicina, sistema de agendamento — cada integração é um caminho, e quase nunca há contrato de tratamento amarrando.
- Equipamento médico em rede Aparelho conectado que ninguém considera "computador", rodando sistema antigo, no mesmo segmento do resto.
Sistema homologado, firewall, antivírus, DPO nomeado e backup em nuvem. O prontuário estava atrás de um login sem segunda camada, em sistema legado sem atualização há anos. A restauração nunca tinha sido testada.
Perguntas de quem é deste setor
A LGPD é diferente para dado de saúde?
Sim. Prontuário é dado pessoal sensível (art. 11), com hipóteses de tratamento mais restritas e exigência maior de segurança. Tratamento de risco elevado costuma pedir relatório de impacto (RIPD).
Preciso de DPO mesmo sendo uma clínica pequena?
A lei exige encarregado indicado. Para clínica pequena, terceirizar costuma sair mais barato e mais competente do que designar alguém que já tem outra função.
O teste tem acesso a prontuário real?
Não. Trabalhamos com dado de teste sempre que possível. Se for inevitável tocar dado real para comprovar um achado, extraímos o mínimo, sob NDA, e registramos exatamente o que foi acessado.
Por onde este setor costuma começar
Financeiro, fintechs e meios de pagamento Perder a licença
Fintechs, adquirentes e gestoras respondem ao Banco Central, ao PCI DSS e à LGPD ao mesmo tempo. E em todos os casos que investigamos, a certificação estava em dia — a brecha estava em outro lugar.
Aqui o pior cenário não é multa: é não poder mais operar. Perda de certificação ou sanção do regulador interrompe o negócio.
O que costuma estar aberto
- Chave de acesso no repositório Credencial em texto puro no histórico de commit. Continua lá mesmo depois de removida do código atual — e o histórico é público para quem tem acesso ao repositório.
- Dado real em homologação Ambiente de teste, que ninguém protege, rodando com número de cartão de cliente verdadeiro.
- SIEM que vê tudo e alerta nada A ferramenta está lá, coletando. Falta a regra que importava — e ninguém do outro lado lendo.
- Tokenização parcial O fluxo novo tokeniza; o legado, que ainda processa metade do volume, não.
- Antifraude confundido com segurança São coisas diferentes. Antifraude olha o comportamento da transação; não impede que alguém leia a base pela API.
- Integração com parceiro sem escopo Chave de terceiro com permissão ampla e sem rotação. Num caso real, foi por onde o ransomware entrou.
PCI DSS auditado, tokenização, WAF, SIEM 24x7 e pentest anual. As chaves de acesso estavam no Git em texto puro, o ambiente de teste rodava com cartão real e o SIEM não tinha a regra que importava.
Perguntas de quem é deste setor
Já fazemos pentest anual para o PCI. Precisa de outro?
O pentest de conformidade tem escopo definido pelo padrão. Ele responde "o ambiente de cartão está adequado?", não "o que um atacante conseguiria fazer na minha empresa?". São perguntas diferentes e o segundo costuma achar mais.
Vocês conhecem as exigências do Bacen?
Trabalhamos com os requisitos de segurança cibernética aplicáveis a instituições autorizadas, e o Imperium inclui a preparação para auditoria e a interlocução com o regulador.
Podemos ter problema por vocês acessarem dado financeiro?
O escopo é autorizado por escrito, o acesso é o mínimo necessário para comprovar cada achado, tudo sob NDA e com trilha de auditoria. Nada de PAN é extraído ou armazenado.
Por onde este setor costuma começar
// Primeiro passo
Comece descobrindo o que está exposto.
Uma conversa inicial, sem compromisso, para entender o seu cenário e te dizer por onde faz sentido começar. Se não for a hora, a gente fala isso também.