Ferramentas de varredura de vulnerabilidades e soluções de IA para segurança são parte essencial de uma estratégia robusta. Existe, porém, uma distinção que costuma escapar à alta liderança e que define a diferença entre parecer seguro e comprovar resiliência.
No primeiro semestre de 2025, a América Latina e o Canadá registraram mais de 374 bilhões de tentativas de ataque, 84% delas direcionadas ao Brasil, o equivalente a 314,8 bilhões de atividades maliciosas (FortiGuard Labs, Cenário Global de Ameaças, 2025). A exploração de vulnerabilidades foi o principal vetor de acesso inicial pelo sexto ano consecutivo, respondendo por 32% das intrusões investigadas. E a mediana de permanência do invasor no ambiente antes da detecção subiu para 14 dias, ante 11 dias no ano anterior (Mandiant, M-Trends 2026).
O que a varredura automatizada alcança
Ferramentas automatizadas operam com base em assinaturas e padrões conhecidos. Elas identificam o que já foi catalogado e cumprem bem essa função: cobertura ampla, execução rápida, custo baixo por ativo.
O limite aparece em quatro pontos. A varredura opera sobre falhas isoladas, sem encadeá-las em vetores de comprometimento total. Não alcança lógica de negócio nem fluxos de autenticação customizados. Não evidencia o impacto real de uma exploração bem-sucedida. E entrega um inventário de achados, sem hierarquia de risco no contexto da operação.
Um relatório de varredura sem achados críticos descreve o que a ferramenta conseguiu ver.
O que um especialista humano faz que nenhuma ferramenta replica
Um teste de intrusão conduzido por especialistas reproduz com fidelidade o comportamento de um atacante real, o que exige quatro capacidades que a automação não entrega:
Pensamento adversarial. O pentester trabalha por hipótese: explora comportamentos inesperados e busca o caminho de menor resistência até o objetivo, incluindo caminhos que ninguém previu ao desenhar o ambiente.
Encadeamento de vulnerabilidades. Uma falha de CVSS 4.5 raramente justifica ação isolada. Um especialista identifica como três falhas de baixo risco, combinadas, resultam em acesso privilegiado. Essa análise combinatória depende do contexto do negócio.
Contexto de negócio. O que é crítico para uma instituição financeira difere do que é crítico para um hospital ou uma indústria com ambientes OT/ICS. O especialista mapeia o ambiente pelos ativos de maior valor e pelas consequências regulatórias de cada setor.
Evidência técnica. Seguradoras de risco cibernético, reguladores e conselhos exigem prova documentada de medidas proativas. Um relatório técnico produzido por especialistas, com metodologia declarada e evidência rastreável, atende a esse requisito probatório. Um log de varredura registra a execução de uma ferramenta.
Pentest e IA: onde a IA entra e onde ela para
Equipes de segurança ofensiva usam IA todos os dias. Ela acelera as fases de maior volume: reconhecimento e varredura inicial, geração e adaptação de scripts, triagem de grandes volumes de dados.
A interpretação do contexto do negócio, o encadeamento de falhas e a decisão sobre qual caminho um atacante humano seguiria permanecem com o especialista, que responde pela entrega final.
Pentest como processo contínuo
Um pentest que termina em um PDF estático cumpre metade do trabalho. A metade que reduz risco está em garantir que cada vulnerabilidade seja priorizada por impacto real, atribuída a um responsável com prazo, revalidada após a correção com evidência rastreável e documentada de forma auditável.
No Brasil, 40% das empresas já sofreram algum incidente cibernético e 67% possuem plano de resposta a incidentes. Entre as que já passaram por um incidente, o índice de quem tem plano cai para 64% (Grant Thornton Brasil e Opice Blum Advogados, Riscos Cibernéticos: a percepção das lideranças brasileiras e práticas adotadas, 248 empresas, campo entre março e dezembro de 2024). Possuir o controle e comprovar que ele funciona são etapas distintas, e a segunda depende de teste.
O que mudou para instituições financeiras
As Resoluções CMN nº 5.274/2025 e BCB nº 538/2025, publicadas em 18 de dezembro de 2025, alteraram a Resolução CMN nº 4.893/2021 e a Resolução BCB nº 85/2021 e incorporaram o teste de intrusão ao conjunto de controles mínimos de segurança cibernética do Sistema Financeiro Nacional. O prazo de adequação para as instituições em funcionamento venceu em 1º de março de 2026.
Quatro pontos alteram a decisão de contratação:
- Periodicidade e independência. O teste de intrusão passou a ser exigido no mínimo uma vez por ano, executado por empresa ou profissional independente, com documentação formal dos resultados e plano de ação para as vulnerabilidades encontradas.
- Rastreabilidade. Relatórios e evidências de correção devem ficar à disposição do Banco Central por cinco anos. O documento deixa o âmbito técnico e passa a compor o registro de conformidade da instituição.
- Escopo ampliado. Os testes alcançam também os ativos de terceiros utilizados na infraestrutura da instituição, o que inclui softwares e serviços contratados.
- Alcance institucional. A CMN 5.274 atinge bancos, financeiras e Sociedades de Crédito Direto. A BCB 538 alcança instituições de pagamento. O conjunto abrange organizações com obrigação equivalente à dos grandes conglomerados e estrutura interna de segurança consideravelmente menor.
O critério de independência merece atenção específica. Quando o fornecedor contratado para conduzir o teste é o mesmo que projeta ou gerencia a infraestrutura de segurança da instituição, a independência exigida pela norma pode ser questionada em fiscalização. A separação entre quem constrói o controle e quem o testa passou a ter consequência documental.
O contexto que motivou a atualização ajuda a dimensionar a exigência. O número de grandes ocorrências de invasão a sistemas de instituições financeiras no Brasil subiu de 24 em 2023 para 59 em 2024 e 76 em 2025. Houve também uma mudança na natureza dos casos: em 2025, as fraudes lideraram com 39 ocorrências, contra 27 falhas técnicas, invertendo o padrão dos anos anteriores.
Critérios para avaliar um fornecedor
Seis perguntas orientam a decisão:
- A metodologia segue OWASP, PTES ou MITRE ATT&CK?
- Os profissionais são especialistas dedicados em segurança ofensiva?
- Há independência formal entre quem executa o teste e quem gerencia a infraestrutura?
- O escopo cobre ativos de terceiros utilizados na operação?
- Existe revalidação formal das correções, com evidência rastreável?
- A equipe conhece as particularidades regulatórias do setor da instituição?
Para instituições financeiras, o teste anual passou a ter prazo definido, exigência de independência e guarda documental de cinco anos. Para os demais setores, permanece como o instrumento mais preciso de medir resiliência. Em ambos os casos, o valor da entrega se define depois do relatório, na revalidação do que foi corrigido.
