Como o pentest pode prevenir brechas no multicanal da empresa

Quando um vazamento de dados vira notícia, raramente a origem é o sistema mais protegido da empresa. Costuma ser o canal que entrou no ar mais rápido: o atendimento por WhatsApp, a integração feita para ganhar agilidade, a API conectada a um fornecedor. Cada canal novo melhora a experiência do cliente e, ao mesmo tempo, abre uma porta que alguém precisa testar.

Para quem responde pelo risco da empresa, a pergunta mudou. Já não basta saber se o sistema principal está protegido. É preciso saber se a conexão entre os canais resiste a quem tenta atravessá-la. O pentest existe para responder isso com evidência, antes que a resposta venha de um incidente.

Um cliente que começa uma conversa no WhatsApp, consulta um pedido no site e fecha o atendimento por telefone vive uma jornada única. Para a empresa, essa jornada é uma cadeia de sistemas conversando entre si: plataforma de atendimento, CRM, meio de pagamento, base de clientes.

Cada elo dessa cadeia guarda ou transporta dados pessoais. E cada ligação entre eles é um ponto onde alguém pode tentar entrar, interceptar ou pedir informação que não deveria receber. Por isso o multicanal deve ser tratado como parte da superfície de ataque da empresa, com o mesmo rigor aplicado ao ambiente interno.

Os sistemas costumam ser testados e protegidos individualmente. Os problemas aparecem na costura entre eles, por alguns motivos recorrentes:

• Credenciais e tokens de acesso: integrações funcionam com chaves que precisam ficar guardadas em algum lugar. Quando a gestão dessas chaves é frouxa, quem obtém uma delas passa a agir como o sistema legítimo.
• Dados em trânsito entre sistemas: informações do cliente circulam de uma plataforma para outra, e a proteção costuma ser pensada para o sistema, não para o caminho.
• Permissões amplas demais: para a integração funcionar rápido, é comum liberar mais acesso do que ela precisa, e esse excesso é o que um atacante aproveita.
• Terceiros no meio do caminho: cada fornecedor conectado estende a superfície de ataque para um ambiente que a empresa não controla, tema que aprofundamos no artigo sobre risco de terceiros e Attack Surface Management.

Um pentest simula a ação de um atacante, de forma autorizada e controlada, para descobrir o que é realmente explorável. Em ambientes multicanal, o escopo costuma se organizar por camada. Descrevemos aqui o que é avaliado, sem entrar em técnica de exploração.

Atendimento

O atendimento é o canal mais exposto a pessoas, e por isso também a engenharia social. O teste avalia se o fluxo de atendimento, automatizado ou humano, depende de uma verificação de identidade suficiente antes de entregar dados ou executar uma ação. Avalia também se um interlocutor mal-intencionado consegue conduzir o atendente ou o chatbot a revelar informação de outro cliente.

API do WhatsApp Business

Empresas que implementam a API do WhatsApp conectam o canal a sistemas internos, e é nessa conexão que o pentest se concentra. O escopo costuma incluir:

• Autenticação e autorização: se apenas quem deveria consegue enviar, receber e consultar, e se cada pedido respeita os limites do que aquele acesso pode ver.
• Exposição de dados nas respostas: se mensagens, retornos e registros devolvem mais informação do que o necessário.
• Recebimento de eventos (webhooks): se a empresa valida a origem do que chega ao seu sistema ou aceita qualquer remetente como legítimo.
• Gestão de credenciais: onde ficam as chaves da integração, quem tem acesso a elas e como são renovadas.

Como referência de categorias de falha em APIs, usamos o OWASP API Security Top 10, que organiza os problemas mais comuns da área.

Integrações

CRM, ERP, plataformas de pagamento e fornecedores conectados formam o terceiro bloco. O teste verifica se a integração concede só o acesso de que precisa, se os dados que atravessam o caminho estão protegidos e se uma falha em um elo permite alcançar os demais.

Nos nossos projetos, tem sido recorrente a seguinte situação: a empresa decide implementar a API do WhatsApp para escalar o atendimento e, ao concluir a integração, pede um pentest das conexões antes ou logo depois de colocá-las em produção.

É um sinal de maturidade, porque a pergunta deixou de ser “funciona?” e passou a ser “resiste?”. Quem testa antes do go-live descobre o problema quando ele ainda custa pouco para corrigir. Quem testa depois de um incidente descobre quando o custo já inclui comunicação, reputação e explicações.

A LGPD exige que os agentes de tratamento adotem medidas de segurança, técnicas e administrativas, aptas a proteger os dados pessoais contra acessos não autorizados e situações ilícitas (art. 46). Em caso de incidente que possa acarretar risco ou dano relevante aos titulares, o controlador deve comunicar a ANPD e os titulares (art. 48).

O pentest não é exigência legal em si. Mas é uma das formas mais concretas de demonstrar que a empresa avaliou ativamente a segurança do que implementou. Em uma eventual apuração, ter evidência de teste, correção e reteste conta a favor de quem responde pelos dados. E quanto ao medo de virar caso de mídia, a melhor resposta é encontrar a brecha antes de qualquer outra pessoa.

Os dois se complementam. O Attack Surface Management mapeia continuamente o que a empresa tem exposto, inclusive canais e integrações que ninguém documentou. O pentest pega o que foi mapeado e valida o quão explorável aquilo realmente é. Se você ainda não conhece o conceito, explicamos em detalhe em O que é Attack Surface Management.

Na prática: o ASM responde “o que existe e está exposto?” e o pentest responde “o que um atacante conseguiria fazer com isso?”.

• Antes do go-live de um novo canal: é o momento em que corrigir é mais barato e o risco ainda não chegou ao cliente.
• A cada mudança relevante de integração: um novo fornecedor, uma nova permissão ou um novo fluxo de dados altera o que foi testado antes.
• Periodicamente, mesmo sem mudanças: novas formas de ataque surgem e o resultado de um teste só vale para o momento em que foi feito.

O resultado não é uma lista técnica de falhas, e sim um relatório com os achados priorizados por risco real, escrito para que quem decide consiga entender o impacto e agir. Inclui recomendações de correção e, depois que a empresa corrige, um reteste para confirmar que o problema foi de fato resolvido.

Se a sua empresa está implementando ou ampliando canais como a API do WhatsApp, o pentest antes de entrar no ar é o caminho mais direto para saber se a integração resiste. O Pentest da Anzemis cobre atendimento, APIs e integrações, com escopo definido conforme o seu ambiente.