O que é pentest (teste de invasão)?

Pentest, ou teste de invasão, é uma simulação autorizada de ataque em que especialistas exploram vulnerabilidades de aplicações, redes e sistemas para medir o impacto real no negócio. Diferente de um scan automatizado, o pentest encadeia falhas, comprova exploração e entrega um relatório com correções priorizadas.

O termo vem do inglês penetration testing. No Brasil, o equivalente técnico é teste de invasão — a expressão que usamos ao longo deste guia. A ideia central é adversarial: em vez de listar configurações erradas, um pentest responde à pergunta que importa para a diretoria e para o time de segurança — "o que um atacante realmente conseguiria fazer aqui, e até onde ele chegaria?".

Como funciona um pentest

Um pentest é um exercício autorizado no qual profissionais de segurança assumem o papel de um atacante para testar as defesas de um alvo definido. O objetivo não é apenas encontrar falhas isoladas, mas encadeá-las e demonstrar impacto: acesso a dados sensíveis, movimentação lateral, comprometimento de credenciais privilegiadas ou interrupção de um processo crítico.

Um teste de invasão profissional segue um ciclo estruturado. Ele se apoia em metodologias reconhecidas — como o OWASP Testing Guide, o NIST SP 800-115 e o MITRE ATT&CK para mapear táticas e técnicas. As fases de um pentest, na ordem em que executamos:

1. Escopo e regras de engajamento — definição do alvo, das janelas de teste, dos limites e dos contatos de emergência. É a etapa que garante autorização e segurança operacional.
2. Reconhecimento — coleta de informações sobre o alvo, passiva (fontes abertas) e ativa (enumeração de serviços e superfícies).
3. Varredura e enumeração — mapeamento de serviços, portas, tecnologias e superfícies expostas, combinando ferramentas automatizadas com análise manual para identificar falhas potenciais.
4. Exploração — validação controlada das falhas, confirmando o que é real e o que é falso positivo.
5. Pós-exploração — avaliação do alcance a partir de um acesso obtido: movimentação lateral, escalação de privilégios e acesso a dados sensíveis. É aqui que o impacto fica evidente.
6. Relatório — documentação dos achados com evidência, classificação de severidade (usando CVSS), reprodução e recomendações de correção priorizadas.
7. Reteste — verificação de que as correções aplicadas de fato eliminaram as falhas.

O relatório é o produto que fica. Um bom relatório de pentest serve a duas audiências ao mesmo tempo: dá ao time técnico o caminho exato para reproduzir e corrigir cada falha, e dá à liderança uma leitura clara do risco e da prioridade. O ponto que diferencia um pentest de qualquer outra atividade de segurança é a prova: um achado bem documentado não diz "esta porta está aberta"; ele demonstra o caminho que parte daquela porta e chega ao dado que o cliente precisa proteger.

Quais são os tipos de pentest?

Os tipos se organizam em dois eixos: o nível de conhecimento prévio entregue ao time e o alvo que será testado. Para um detalhamento completo de cada modalidade e quando usá-la, veja o guia sobre tipos de pentest.

Por nível de conhecimento

1. Black box — a equipe começa sem informações internas, reproduzindo a perspectiva de um atacante externo. Simula bem a realidade, mas gasta tempo em reconhecimento.
2. Gray box — a equipe recebe informações parciais, como credenciais de usuário comum ou documentação de arquitetura. É o equilíbrio mais usado: foca esforço onde o risco está.
3. White box — a equipe recebe acesso amplo, incluindo código-fonte e configurações. Maximiza cobertura e é indicado para sistemas críticos.

Por alvo

• Pentest de aplicação web — testa falhas de lógica de negócio, autenticação, autorização e as categorias do OWASP.
• Pentest de API — foca em autenticação, controle de acesso por objeto e abuso de lógica em endpoints REST e GraphQL.
• Pentest de rede — avalia perímetro e ambiente interno, buscando movimentação lateral e escalação de privilégios.
• Pentest de cloud — analisa configurações de IAM, isolamento e superfícies expostas em ambientes AWS, Azure e GCP.
• Pentest mobile — cobre aplicativos Android e iOS seguindo a metodologia OWASP MASVS/MASTG.
• Pentest wireless — avalia redes sem fio (Wi-Fi corporativo, segregação de SSIDs, protocolos de autenticação) em busca de pontos de entrada no ambiente interno.
• Engenharia social — testa o fator humano com campanhas controladas de phishing, pretexting e acesso físico, medindo conscientização e resposta.

Quando o objetivo vai além de testar um alvo específico e busca avaliar a capacidade de detecção e resposta da organização como um todo, o exercício deixa de ser um pentest convencional e se aproxima de um exercício de Red Team, com objetivos adversariais amplos e cenários de ataque de ponta a ponta.

Qual a diferença entre pentest e scanner de vulnerabilidades?

Essa é a confusão mais comum — e a mais cara. Um scanner de vulnerabilidades é uma ferramenta automatizada que compara o alvo com uma base de falhas conhecidas e gera uma lista. Ele é rápido, amplo e útil para higiene contínua, mas não valida se cada item é realmente explorável nem entende o contexto do negócio.

Um pentest usa scanners como ponto de partida, mas o valor está no que vem depois: validação manual, encadeamento de falhas, exploração controlada e avaliação de impacto real. A tabela abaixo resume as diferenças:

Os dois são complementares. O scanner mantém a superfície sob observação constante; o pentest aprofunda, valida e mede o que a automação não alcança. Programas maduros usam ambos.

Pentest é legal? Autorização e escopo

Sim, o pentest é legal — desde que autorizado. A fronteira entre um teste de invasão profissional e um crime é a autorização por escrito do dono dos sistemas. Antes de qualquer atividade, cliente e equipe definem em contrato o escopo (quais alvos podem ser testados), a janela de execução, os limites e as regras de engajamento. Esse documento é o que transforma um ataque simulado em um serviço legítimo de segurança.

Sem essa autorização, a mesma atividade técnica configura crime. No Brasil, a invasão de dispositivo informático alheio é tipificada no art. 154-A do Código Penal, com pena de reclusão. Por isso, um pentest sério nunca começa pela ferramenta: começa pelo escopo assinado, pelos contatos de emergência e pelas regras que protegem tanto o cliente quanto o time que executa o teste.

Quanto custa um pentest?

Não existe preço único: o custo de um teste de invasão depende do escopo (quantos alvos e de que tipo), da profundidade exigida, do nível de conhecimento prévio (black, gray ou white box) e de requisitos de conformidade. Um pentest de uma única aplicação web tem escopo e preço diferentes de um teste que cobre rede interna, APIs e ambiente de cloud ao mesmo tempo.

Para entender os fatores que definem o orçamento e como dimensionar o seu, consulte o guia de quanto custa um pentest no Brasil.

Quando sua empresa precisa de um pentest?

Há dois gatilhos: obrigação regulatória e gestão de risco. Muitas vezes eles se sobrepõem.

Do lado regulatório e de conformidade, o teste de invasão é um requisito recorrente. A conformidade com PCI DSS exige testes periódicos para ambientes que processam dados de cartão. A adequação à ISO 27001 trata o teste técnico como parte da avaliação de controles. A adequação à LGPD demanda medidas técnicas para proteger dados pessoais, e o pentest é uma forma direta de evidenciá-las. Para instituições financeiras, as resoluções do BACEN e do CMN sobre segurança cibernética, incluindo a 4.893, reforçam a necessidade de testes sobre ambientes críticos — o que se estende a integrações de Open Finance e a ambientes de pagamento.

Do lado da gestão de risco, contrate um pentest quando:

• Um sistema novo ou uma funcionalidade sensível entra em produção.
• Ocorre uma mudança relevante de arquitetura, migração para cloud ou integração com terceiros.
• Há um marco de negócio — uma rodada de investimento, um contrato que exige due diligence de segurança ou uma auditoria.
• Passou o intervalo definido na sua política de segurança (o padrão de mercado é ao menos anual, além de testes por mudança relevante).

Para organizações que adotam sistemas de IA, a lógica é a mesma, mas a superfície é nova: modelos, agentes e pipelines de RAG têm classes de falha próprias, e testá-los exige metodologia específica — assunto que tratamos em segurança de agentes de IA e na governança segundo a ISO 42001.

Como a Berghem executa um teste de invasão

Na Berghem, o teste de invasão começa pelo objetivo adversarial, não pela URL. Estruturamos cada engajamento como o serviço de Ethical Hacking Test (EHT): definimos o que um atacante buscaria naquele contexto — dados de cliente, credenciais privilegiadas, um processo crítico — e trabalhamos para trás, encadeando as falhas necessárias para chegar lá.

O que isso significa na prática:

• Foco em impacto, não em volume. Preferimos um relatório com dez achados encadeados e provados a uma lista de duzentos itens não validados.
• Análise humana sobre automação. Ferramentas aceleram a cobertura; a exploração e o encadeamento são conduzidos por especialistas.
• Metodologia reconhecida. OWASP, NIST SP 800-115 e MITRE ATT&CK sustentam a execução e a documentação.
• Relatório acionável. Cada achado traz evidência, passos de reprodução, severidade CVSS e recomendação de correção priorizada — mais o reteste para confirmar que a falha foi eliminada.

Somos uma empresa de segurança da informação em São Paulo e conduzimos testes de invasão em aplicações, APIs, redes, ambientes de cloud e sistemas de IA. O objetivo de cada engajamento é o mesmo: reduzir risco real e dar ao seu time o caminho claro para corrigir o que importa.

A Berghem é uma empresa de pentest brasileira, sediada em São Paulo, que executa testes de invasão manuais orientados por objetivo adversarial.

Perguntas frequentes

O que é pentest e para que serve?

Pentest, ou teste de invasão, é uma simulação autorizada de ataque em que especialistas exploram vulnerabilidades de aplicações, redes e sistemas para medir o impacto real no negócio. Ele serve para reduzir risco real (falhas exploráveis são corrigidas antes de um adversário as encontrar), validar controles de segurança sob condições próximas às de um ataque genuíno e sustentar decisões, traduzindo achados técnicos em priorização de correção e em evidência para auditorias.

Quais são as fases de um pentest?

Um teste de invasão profissional segue um ciclo estruturado: escopo e regras de engajamento, reconhecimento, varredura e enumeração, exploração, pós-exploração, relatório e reteste. As fases se apoiam em metodologias reconhecidas como o OWASP Testing Guide, o NIST SP 800-115 e o MITRE ATT&CK, e culminam em um relatório com evidência, severidade CVSS e correções priorizadas.

Pentest é legal?

Sim, desde que autorizado por escrito pelo dono dos sistemas, com escopo, janela de execução e regras de engajamento definidas. Sem autorização, a mesma atividade configura crime de invasão de dispositivo (art. 154-A do Código Penal).

Com que frequência devo fazer um pentest?

O padrão de mercado é ao menos um teste anual, complementado por testes sempre que houver mudança relevante — um sistema novo em produção, uma migração para cloud ou uma integração com terceiros. Requisitos como PCI DSS e ISO 27001 também definem periodicidade própria para seus escopos.

Pentest é a mesma coisa que Red Team?

Não. O pentest avalia um alvo definido em busca de vulnerabilidades exploráveis. O Red Team é mais amplo: simula um adversário real de ponta a ponta para testar a capacidade de detecção e resposta da organização. O pentest mede falhas; o Red Team mede também a defesa.