O que é pentest? Como funciona e os tipos (black box, gray box e white box)

Definição: pentest (teste de intrusão ou teste de penetração) é uma simulação autorizada de ataque, conduzida por especialistas, para encontrar e explorar vulnerabilidades em sistemas, aplicações, APIs ou modelos de IA — e demonstrar o impacto real no negócio antes que um atacante faça isso. A diferença para um scan de vulnerabilidades é a exploração e o encadeamento: o pentest prova o que dá para fazer, não só o que parece errado.

Este guia responde às perguntas básicas — o que é, como funciona, quais os tipos — e às que importam na hora de decidir: qual tipo escolher, o que esperar do relatório e quando o pentest é exigido.

Para que serve um pentest

Três motivos aparecem em quase toda contratação:

• Reduzir risco real. Encontrar o caminho que leva de um usuário comum até dados de outros clientes, privilégios de administrador ou movimentação financeira indevida.
• Cumprir exigências. PCI DSS exige pentest anual e após mudanças significativas; ISO 27001, SOC 2, BACEN, NIS2 e DORA tratam testes de segurança como evidência de controle. Veja pentest para ISO 27001, SOC 2 e LGPD.
• Vender. Clientes enterprise pedem relatório recente de pentest em questionários de segurança. Sem ele, o contrato trava no procurement.

Como funciona, etapa por etapa

1. Escopo e regras de engajamento. O que pode ser testado, em qual ambiente, em que janela, com quais contas, e o que está proibido (por exemplo, negação de serviço). Tudo por escrito e autorizado.
2. Reconhecimento. Mapeamento da superfície: subdomínios, endpoints, versões, tecnologias, documentação exposta, funcionalidades por perfil.
3. Análise e descoberta. Ferramentas e análise manual em paralelo — o que a ferramenta sinaliza, o especialista confirma; o que ela não enxerga (autorização, lógica de negócio), o especialista procura.
4. Exploração e encadeamento. Transformar a vulnerabilidade em impacto demonstrável, com o mínimo de intrusão: ler um registro de outro tenant, escalar privilégio, extrair dados via um agente de IA.
5. Relatório. Sumário executivo, achados com severidade, evidência reproduzível (PoC), impacto no negócio e recomendação de correção.
6. Reteste. Validação de que as correções funcionam e não abriram caminho novo.

Tipos de pentest por nível de informação

Black box

O especialista começa sem informação nenhuma além do alvo — como um atacante externo. Bom para: avaliar o que está exposto na internet e testar detecção. Limitação: boa parte do orçamento vai para descobrir o que o seu time saberia dizer em minutos, e funcionalidades atrás do login ficam menos cobertas.

Gray box

O especialista recebe credenciais por perfil, documentação (OpenAPI, arquitetura) e contexto de negócio. Simula um usuário legítimo mal-intencionado ou um atacante que já roubou uma conta — o cenário mais comum em incidentes reais. É o melhor custo-benefício para aplicações web, APIs e sistemas de IA e o formato que mais recomendamos.

White box

Acesso a código-fonte, configurações e arquitetura completa. Permite a análise mais profunda — por exemplo, encontrar uma checagem de autorização ausente lendo o handler, em vez de adivinhando por fora. Bom para: componentes críticos (autenticação, pagamentos), due diligence técnica e produtos maduros.

	Black box	Gray box	White box
Informação prévia	nenhuma	contas + documentação	código + arquitetura
Realismo do atacante externo	alto	médio	baixo
Cobertura por dia de teste	baixa	alta	muito alta
Indicado para	perímetro, detecção	web, API, IA (padrão)	componentes críticos

Tipos de pentest por alvo

• Aplicação web: autenticação, sessão, autorização, injeções, lógica de negócio, upload, SSRF. Referência: OWASP Top 10 e OWASP WSTG.
• API: REST, GraphQL e gRPC, guiado pelo OWASP API Security Top 10 — o campeão de achados críticos é o BOLA/IDOR. Guia completo em pentest de API.
• IA e LLM: chatbots, RAG e agentes, guiado pelo OWASP Top 10 para LLM: prompt injection, vazamento de dados, abuso de ferramentas.
• Mobile: app e, principalmente, a API que ele consome.
• Infraestrutura e cloud: rede externa e interna, Active Directory, configuração de AWS/Azure/GCP.
• Red team: simulação de adversário com objetivo (ex.: chegar ao ambiente de pagamentos), testando também detecção e resposta.

Pentest, scan de vulnerabilidades e bug bounty

O scan automatizado encontra o conhecido e o superficial; o bug bounty paga por achados de uma multidão, sem garantia de cobertura; o pentest garante metodologia, profundidade e um relatório com escopo definido. Os três se complementam — detalhamos em pentest vs. scanner vs. bug bounty.

O que um bom relatório de pentest contém

• Sumário executivo em linguagem de negócio: o que um atacante conseguiria fazer.
• Achados com severidade justificada (CVSS ou critério equivalente, ajustado ao contexto).
• Passos de reprodução e evidências que o time de desenvolvimento consegue seguir.
• Cadeias de ataque, não só itens isolados.
• Recomendações específicas para a sua stack, e não texto genérico de ferramenta.
• Escopo, período, metodologia e limitações — o que um auditor vai procurar.

Com que frequência fazer

No mínimo anualmente e após mudanças relevantes (nova funcionalidade de pagamento, nova integração, lançamento de recurso com IA). Produtos com deploy contínuo se beneficiam de ciclos menores e recorrentes. Sobre orçamento, veja quanto custa um pentest.

Perguntas frequentes

Pentest é legal?

Sim, quando autorizado por escrito pelo responsável pelos sistemas, com escopo definido. Sem autorização, a mesma atividade configura crime (no Brasil, Lei 12.737/2012).

Pentest derruba o sistema?

Um pentest bem conduzido não. Testes de negação de serviço ficam fora do escopo por padrão, cargas são controladas e ações destrutivas são combinadas antes. Em produção, define-se janela e contato de emergência.

Quanto tempo dura um pentest?

Uma aplicação web ou API de porte médio leva, tipicamente, de 5 a 15 dias de teste, mais 2 a 5 dias para relatório. Red team dura semanas.

Qual a diferença entre pentest e análise de vulnerabilidades?

A análise de vulnerabilidades lista falhas potenciais, em geral de forma automatizada. O pentest confirma, explora e encadeia essas falhas para mostrar o impacto real — e encontra classes que ferramentas não detectam, como falhas de autorização e de lógica de negócio.