Antes de qualquer ataque minimamente organizado existe uma fase silenciosa de reconhecimento. O atacante não começa explorando: começa listando. Quais domínios a empresa tem, quais serviços estão expostos, quem trabalha lá, que tecnologia ela usa, o que já vazou.
A defesa tem uma vantagem nesse jogo e quase nunca a usa: ela pode fazer o mesmo levantamento primeiro, e corrigir o que encontrar.
O que é superfície de ataque, na prática
Superfície de ataque é tudo que pode ser alcançado de fora. Isso inclui o óbvio, como o site institucional, e principalmente o que ninguém lembra: um subdomínio de homologação esquecido, um painel administrativo aberto, uma credencial em repositório público, um funcionário anunciando no LinkedIn qual sistema a empresa acabou de comprar.
Já tratei do uso investigativo dessas técnicas em OSINT na Investigação de Cibercrimes. Aqui a aplicação é defensiva: olhar para a própria organização com os olhos de quem vai atacá-la.
Etapa 1: o perímetro de domínios
Comece pelo que a empresa registrou e pelo que ela expõe no DNS.
# registros basicos
dig +short empresa.com.br any
dig +short mx empresa.com.br
dig +short txt empresa.com.br
# quem responde e onde
whois empresa.com.brO registro TXT costuma entregar mais do que se imagina: verificações de serviços de terceiros denunciam quais ferramentas de nuvem, e-mail e marketing a empresa usa.
Para subdomínios, os registros de transparência de certificados são a fonte mais rica, porque toda emissão de certificado é pública:
curl -s "https://crt.sh/?q=%25.empresa.com.br&output=json" \
| python -c "import sys,json;print('\n'.join(sorted({d['name_value'] for d in json.load(sys.stdin)})))"É comum esse único comando revelar ambientes de teste, painéis internos e sistemas antigos que ninguém desligou.
Etapa 2: o que está escutando
Com a lista de nomes, verifique o que responde. Resolva cada nome e confira se o serviço está de pé:
for h in $(cat subdominios.txt); do
ip=$(dig +short "$h" | tail -1)
[ -n "$ip" ] && echo "$h -> $ip"
doneAqui vale uma distinção importante. Consultar DNS, certificados e cabeçalhos HTTP é observação de informação pública. Varredura de portas e testes de vulnerabilidade em ativos de terceiros não são OSINT, são intrusão, e exigem autorização formal. Se você está mapeando a própria empresa, tenha a autorização por escrito mesmo assim.
Etapa 3: tecnologia e versões
Cabeçalhos de resposta e páginas de erro entregam muito:
curl -sSI https://empresa.com.br | grep -Ei 'server|x-powered|set-cookie'Um cabeçalho que revela versão exata de servidor ou de linguagem é um convite: o atacante consulta a lista de vulnerabilidades conhecidas daquela versão e já sabe por onde tentar.
Etapa 4: pessoas
Engenharia social começa no organograma. Nomes, cargos e o padrão de e-mail da empresa costumam estar publicados em redes profissionais e no próprio site.
Descobrir que o padrão é nome.sobrenome@empresa.com.br transforma uma lista de funcionários em uma lista de alvos. É exatamente o insumo do tipo de campanha que descrevi em Spear Phishing em 2025.
Etapa 5: o que já vazou
Credencial reaproveitada é o atalho preferido de quem ataca. Verifique se endereços corporativos aparecem em vazamentos conhecidos e trate cada ocorrência como senha comprometida, mesmo que o vazamento seja antigo.
Repositórios públicos merecem atenção especial. Busque por menções ao domínio da empresa junto de termos como senha, token, api_key e .env. Chave de acesso commitada por engano e removida depois continua no histórico do repositório.
Da lista ao plano
Levantamento sem priorização vira planilha morta. Classifique cada achado por duas perguntas: quão fácil é explorar, e quanto dói se acontecer.
| Achado típico | Risco | Ação imediata |
|---|---|---|
| Painel administrativo exposto | Alto | Restringir por IP ou VPN hoje mesmo |
| Subdomínio de homologação no ar | Alto | Desligar ou proteger com autenticação |
| Credencial em repositório público | Alto | Rotacionar a chave, não apenas apagar o arquivo |
| Versão de servidor exposta em cabeçalho | Médio | Suprimir o cabeçalho e atualizar o pacote |
| Padrão de e-mail deduzível | Médio | Reforçar MFA e treinar contra phishing |
| Registro DNS órfão apontando para nuvem | Médio | Remover o registro, risco de sequestro de subdomínio |
Faça disso um hábito
Superfície de ataque não é fotografia, é filme. Cada campanha de marketing cria um subdomínio, cada projeto cria um ambiente, cada contratação cria um perfil público novo.
Um levantamento trimestral, seguindo as cinco etapas acima, encontra a maior parte do que apareceu no intervalo. E encontrar primeiro é a diferença entre corrigir com calma e corrigir durante um incidente.