A evolução da inteligência artificial, da computação em nuvem e das arquiteturas baseadas em APIs está transformando a forma como as empresas desenvolvem aplicações. Ao mesmo tempo, o cenário de ameaças também mudou.
Ataques que antes dependiam de malware ou da exploração direta de vulnerabilidades passaram a utilizar identidades legítimas, credenciais válidas, sessões autenticadas e integrações confiáveis para operar de forma muito mais silenciosa.
Foi justamente esse cenário que motivou o webinar “Será que seu Pentest tradicional ainda é suficiente?”, realizado pela e-Safer em parceria com a HackerSec.
O encontro reuniu profissionais os profissionais Andrew Martinez, Fundador e CEO da Hackersec e Natalie Simões, Gerente de Vendas da e-Safer, para discutir como as estratégias tradicionais de avaliação de segurança precisam evoluir diante das novas técnicas utilizadas por atacantes.
O cenário mudou e os testes também precisam mudar
Durante o webinar, Andrew Martinez explicou que muitas organizações ainda realizam avaliações de segurança utilizando metodologias criadas para um cenário completamente diferente do atual.
Hoje, ambientes corporativos mudam constantemente.
Novas APIs são publicadas diariamente, aplicações recebem atualizações contínuas, ambientes em nuvem evoluem rapidamente e agentes de inteligência artificial passam a integrar processos críticos de negócio.
Nesse contexto, limitar a avaliação da segurança à busca por vulnerabilidades conhecidas pode deixar lacunas importantes na validação da proteção dos ambientes.
A falsa sensação de segurança
Um dos principais pontos discutidos foi a interpretação dos resultados de um pentest.
Receber um relatório indicando ausência de vulnerabilidades críticas não significa, necessariamente, que o ambiente esteja preparado para enfrentar ataques modernos.
Segundo os especialistas, muitos ataques atuais exploram exatamente aquilo que costuma ficar fora do escopo de avaliações tradicionais, como:
- APIs expostas;
- fluxos de autenticação baseados em OAuth;
- identidades comprometidas;
- cadeias de ataque envolvendo múltiplos ativos;
- abuso de credenciais legítimas;
- movimentação lateral em ambientes corporativos.
Nesses cenários, o invasor pode operar utilizando acessos considerados válidos, reduzindo significativamente os indícios normalmente utilizados pelas equipes de defesa.
Segurança ofensiva passa a validar controles não apenas encontrar vulnerabilidades
Outro tema central do webinar foi a mudança de perspectiva sobre o papel do pentest.
Mais do que identificar falhas isoladas, a segurança ofensiva passa a responder perguntas estratégicas, como:
- Os controles implementados realmente impedem um ataque?
- Um invasor conseguiria alcançar ativos críticos utilizando credenciais válidas?
- As integrações existentes ampliaram a superfície de ataque?
- Os mecanismos de autenticação e autorização estão sendo explorados corretamente?
Essa abordagem amplia a visão da organização sobre sua exposição real ao risco.
Inteligência Artificial acelera tanto a defesa quanto o ataque
Os especialistas também discutiram o impacto da IA sobre a segurança ofensiva.
Enquanto empresas utilizam inteligência artificial para acelerar desenvolvimento e operações, atacantes também passaram a utilizar essa tecnologia para automatizar reconhecimento, exploração e identificação de novas oportunidades de comprometimento.
Esse novo cenário exige processos de validação mais frequentes e alinhados à velocidade das mudanças dos ambientes digitais.
Parceria fortalece a atuação em segurança ofensiva
O webinar também reforçou os objetivos da parceria entre a e-Safer e a HackerSec.
A iniciativa combina a experiência da e-Safer em projetos corporativos de cibersegurança, gestão de riscos e proteção de ambientes críticos com a especialização da HackerSec em segurança ofensiva, metodologias AI-First e simulação realista de ataques.
O objetivo é apoiar organizações na evolução de suas estratégias de avaliação de segurança diante de um cenário cada vez mais dinâmico e automatizado.
Assista ao webinar
Quem não conseguiu acompanhar a transmissão ao vivo pode assistir gratuitamente à gravação completa no YouTube.
O conteúdo apresenta uma discussão prática sobre a evolução dos testes de invasão, os desafios trazidos pela inteligência artificial e por que muitas organizações estão revisando seus modelos de validação de segurança.
