Data Leak
Muito além dos 35 GB: a anatomia do caso Accenture
Uma violação de dados nem sempre começa com ransomware. Às vezes, começa com um único acesso indevido.
Invadimos sua empresa antes que alguém faça isso de verdade.
A XPSec faz pentest manual e operações de Red Team para empresas no Brasil. Cada falha do relatório foi explorada pela nossa equipe e vem com o passo a passo para corrigir.
A proposta chega em até 24 horas úteis.
9 CVEs descobertos pela equipe e registrados na MITRE
Equipe certificada em OSCP, OSWP, CRTA, eJPT, eCPPT, eWPTX e eMAPT
Empresas que já atendemos
Scanner automático ou pentest manual?
Os dois têm lugar na segurança de uma empresa. Esta é a diferença no que cada um entrega.
| Scanner automático | Pentest manual da XPSec | |
|---|---|---|
| O que encontra | Falhas conhecidas, comparando versões e assinaturas. | Também falhas de lógica de negócio, como um cliente conseguir abrir a fatura de outro. |
| Falso positivo | Frequente. Alguém da sua equipe precisa investigar cada alerta. | Cada falha foi explorada antes de entrar no relatório. |
| Impacto | Uma nota de severidade genérica (CVSS). | O que um atacante conseguiria fazer com a falha dentro da sua empresa. |
| Correção | Recomendação padrão do fabricante da ferramenta. | Passo a passo para reproduzir e corrigir, com reteste incluso. |
Planos
O plano certo depende do momento da empresa. Todos são executados pela nossa equipe, com contrato e NDA.
Projeto fechado, de 1 a 3 semanas
XPSec Essentials
Pentest com reteste incluso
Para auditoria, lançamento de produto, exigência de cliente ou o primeiro pentest da empresa.
- Teste manual de lógica de negócio, o que scanner não pega
- Relatório técnico com prova de cada falha
- Relatório executivo para a diretoria
- Evidência para LGPD, BACEN e PCI-DSS
- Reteste das correções sem custo
Exemplo do que você recebe
Relatório de pentest web4 achados- #01IDOR em /api/v2/faturasCrítico
- #02Bypass de MFA por race conditionAlto
- #03Upload sem validação de tipoAlto
- #04Enumeração de usuários no loginMédio
Reteste4 de 4 corrigidosAssinatura anual ou semestral
XPSec Continuous
Sua exposição monitorada o ano todo
Para empresas que mudam rápido e não podem depender de um teste por ano.
- BreachFinder 24/7: ativos expostos e credenciais vazadas
- Alerta assim que surge um risco novo
- 1 pentest e 1 campanha de phishing por ano
- Relatório mensal de evolução para o CISO
Exemplo do que você recebe
Score de exposição, 12 mesesJFMAMJJASONDCredencial vazada: ti@suaempresa.com.bragoraOperação de 4 a 12 semanas
XPSec Strategic
Red Team e inteligência de ameaças
Para setor financeiro, infraestrutura crítica e empresas com SOC que precisam testar a própria detecção.
- Ataque simulado sem aviso ao time de defesa
- Cada técnica mapeada no MITRE ATT&CK
- Inteligência de ameaças focada no seu setor
- Sessão de resultados com o board
Exemplo do que você recebe
Cobertura no MITRE ATT&CKReconAcessoExecuçãoPersist.EscaladaLateralDetectadoPassou sem alerta
Não sabe qual faz sentido? Em uma conversa a gente indica o plano certo.
Pedir uma recomendaçãoComo funciona um projeto
Quatro etapas, do contrato ao reteste. Ao lado de cada uma está o documento que você recebe no fim dela.
- 01
Escopo
Definimos o que entra no teste, o tipo (caixa preta, cinza ou branca) e a janela de execução. O contrato e o NDA são assinados antes de qualquer teste.
Você recebe: escopo assinado
- 02
Ataque
Exploramos manualmente, com as mesmas técnicas usadas por grupos criminosos. Só vai para o relatório a falha que conseguimos explorar.
Você recebe: evidência de cada falha
- 03
Relatório
Entregamos dois documentos. O técnico mostra como reproduzir e corrigir cada falha. O executivo explica o risco para quem decide o orçamento.
Você recebe: relatório técnico e executivo
- 04
Reteste
Depois que sua equipe corrige, testamos de novo os mesmos pontos. O projeto termina quando cada falha está confirmada como resolvida.
Você recebe: carta de reteste
Seguimos os frameworksOWASPPTESNISTMITRE ATT&CK
Definir o escopo do seu projetoO que já vazou da sua empresa?
O BreachFinder é a plataforma de threat intelligence que desenvolvemos. Ele varre fóruns, mercados e canais da deep e da dark web o tempo todo e avisa quando aparece algo ligado à sua marca. Usamos a mesma plataforma nos nossos projetos.
Veja se a sua empresa já apareceu em algum vazamento
Digite o domínio do e-mail corporativo. O BreachFinder procura credenciais e dados ligados a ele nas fontes que monitora.
- Credenciais vazadas
- E-mails e senhas da sua empresa expostos em vazamentos e fóruns.
- Dados de executivos
- Informações pessoais da diretoria circulando em fóruns e mercados.
- Domínios falsos
- Typosquatting e páginas de phishing que usam a sua marca.
- Ativos expostos
- Subdomínios, portas e serviços que ninguém lembrava que estavam no ar.
- Vulnerabilidades web
- Scan contínuo dos ativos encontrados, sem esperar o próximo pentest.
- Painel executivo
- Score de risco e relatório automático para apresentar à diretoria.
Quem executa os testes
A XPSec é uma empresa brasileira de segurança ofensiva, com sede em São Paulo. Todos os projetos são executados pelo El1te Team, a nossa equipe interna. Não terceirizamos testes.
- Só segurança ofensiva
- Nosso trabalho é atacar sistemas com autorização e mostrar o que encontramos. Não revendemos produtos de defesa.
- Falhas com prova
- Cada falha do relatório foi explorada e documentada com evidência, então sua equipe não perde tempo com falso positivo.
- Um relatório para cada público
- A TI recebe os passos para reproduzir e corrigir. A diretoria recebe o risco explicado em linguagem de negócio.
- Reteste incluso
- Depois da correção, testamos de novo os mesmos pontos. Uma correção mal feita deixa a falha aberta.
El1te Team
Certificações da equipe
- OSCP
- OSWP
- CRTA
- eJPT
- eCPPT
- eWPTX
- eMAPT
Vulnerabilidades inéditas que a equipe descobriu e registrou na MITRE
Perguntas frequentes
Se a sua dúvida não estiver aqui, pergunte direto para a equipe.
Enviar uma perguntaO que é um pentest?
É um teste de invasão autorizado. Especialistas atacam seus sistemas com as mesmas técnicas de criminosos, de forma controlada, para encontrar e provar falhas antes que alguém as explore.
Quanto custa um pentest?
Depende do escopo: quantidade de sistemas, tipo de teste e prazo. Conte o que precisa proteger e devolvemos uma proposta com escopo, prazo e preço fechados em até 24h úteis.
Quanto tempo leva?
Um pentest leva de 1 a 3 semanas de execução, conforme o escopo. Uma operação de Red Team leva de 4 a 12 semanas. O projeto começa em até 7 dias úteis depois do contrato.
O teste pode derrubar meus sistemas?
Os testes são controlados. Escopo, horários e limites são combinados com a sua equipe antes de começar, e qualquer técnica com risco para a produção só é usada com autorização.
O que eu recebo no final?
Relatório técnico com evidência e correção de cada falha, relatório executivo com o risco em linguagem de negócio, plano de correção priorizado e, depois do reteste, a confirmação de que as falhas foram fechadas.
Pentest ajuda a cumprir a LGPD?
Sim. A LGPD exige medidas técnicas de proteção de dados, e o pentest é a evidência de que a empresa testou seus controles. Entregamos documentação pronta para auditorias de LGPD, BACEN e PCI-DSS.
Meus dados ficam seguros durante o teste?
Contrato e NDA são assinados antes de qualquer troca de informação. Não guardamos os dados sensíveis encontrados durante o teste.
Últimos artigos do blog
Todos os artigos
Threat Intelligence
Um servidor mal configurado expôs três operações de phishing contra o Microsoft 365
Directory listing ligado e histórico de comandos acessível transformaram o servidor de um grupo de phishing em um livro aberto. Entenda o que os logs revelaram e como se defender de ataques AiTM e device code.
Carreira
OSCP, eCPPT, eWPTX: guia completo das certificações de segurança ofensiva
O que cada certificação exige, quanto custa, como se preparar e qual a ordem certa para quem quer construir carreira em pentest e red team.
Peça uma proposta
Conte o que precisa proteger. Em até 24 horas úteis você recebe uma proposta com preço fechado. A primeira conversa não tem custo.
Pedir proposta
Prefere conversar antes? Agende uma reunião ou escreva para info@xpsecsecurity.io.