Imagine por alguns minutos que você está do outro lado.
Seu objetivo é obter acesso à infraestrutura de uma organização. Você ainda não possui credenciais, não conhece a rede interna, não sabe quais ferramentas de segurança ela utiliza e, provavelmente, nunca teve qualquer contato com alguém daquela empresa.
Por onde começar?
A resposta pode ser mais simples do que parece: pela Internet.
Antes de tentar invadir alguma coisa, um atacante precisa descobrir o que existe. E é justamente aí que muitos ataques começam.
Antes do ataque, vem a descoberta
O primeiro passo não precisa envolver malware, phishing ou qualquer técnica particularmente sofisticada. O atacante começa procurando informações sobre a organização e sua infraestrutura exposta:
- Domínios e subdomínios.
- Endereços IP.
- Aplicações Web e APIs.
- Portais de acesso remoto.
- Serviços expostos.
- Infraestrutura em cloud.
- Tecnologias e versões de software utilizadas.
Boa parte dessas informações pode estar publicamente acessível.
O próprio MITRE ATT&CK trata esse estágio como Reconnaissance (TA0043): o adversário coleta informações que podem ser utilizadas para planejar futuras operações.[1]
Entre as técnicas documentadas pelo MITRE estão Active Scanning (T1595), Gather Victim Network Information (T1590) e Search Open Technical Databases (T1596). Bases públicas de DNS, certificados digitais e resultados de varreduras da Internet podem revelar IPs, hostnames, portas abertas, tecnologias e outros elementos úteis para um atacante.[2][3][4]
Em outras palavras, o atacante começa construindo um mapa da superfície de ataque da organização — identificando domínios, sistemas, serviços, tecnologias e outros ativos que podem ser encontrados e analisados a partir da Internet.
Vamos pensar como um atacante
Imagine que durante esse reconhecimento apareçam dezenas ou centenas de ativos relacionados à organização. A maioria talvez não seja particularmente interessante, mas alguns elementos podem rapidamente chamar a atenção:
- Um subdomínio aponta para uma aplicação antiga.
- Um endereço IP possui uma porta de administração acessível pela Internet.
- Um portal VPN está exposto.
- Uma aplicação utiliza uma versão de software conhecida por possuir vulnerabilidades.
- Uma API que deveria ter acesso restrito responde publicamente.
- Um servidor antigo, criado anos atrás para algum projeto, continua online.
- Um storage em cloud está configurado incorretamente.
- Um painel administrativo ou ambiente de homologação que ninguém da equipe de segurança lembrava que estava publicado continua acessível.
Para quem defende a organização, são dezenas ou centenas de ativos para administrar. Para quem ataca, basta encontrar um caminho viável.
O atacante não precisa conhecer sua infraestrutura inteira
Esse é um ponto importante.
O objetivo inicial do atacante não é compreender perfeitamente todo o ambiente tecnológico da organização. É encontrar uma oportunidade.
Por isso, durante o reconhecimento, alguns elementos naturalmente ganham prioridade:
- Vulnerabilidades conhecidas em sistemas expostos: Principalmente quando existe exploit disponível.
- Serviços sensíveis acessíveis pela Internet: Como VPN, RDP, SSH, interfaces administrativas ou ferramentas de gerenciamento.
- Sistemas legados: Que podem permanecer publicados mesmo quando já não recebem o mesmo nível de manutenção ou atualização.
- Aplicações, APIs e infraestrutura cloud mal configuradas: Especialmente quando permitem acesso indevido a dados, interfaces ou recursos.
- Ativos esquecidos ou desconhecidos: Muitas vezes fora dos processos regulares de inventário, atualização e gestão de vulnerabilidades.
É nesse ponto que reconhecimento e acesso inicial começam a se aproximar.
Da descoberta para a tentativa de acesso
Suponha que nosso atacante encontre uma aplicação publicamente acessível executando uma versão vulnerável. Agora ele pode pesquisar a tecnologia, identificar a vulnerabilidade e verificar se existe uma forma conhecida de exploração.
No MITRE ATT&CK, esse comportamento aparece claramente em Exploit Public-Facing Application (T1190).
A técnica contempla a exploração de fraquezas em sistemas acessíveis pela Internet — desde aplicações e servidores Web até bancos de dados, serviços, dispositivos de rede e infraestrutura de edge. O MITRE também destaca que a exploração de aplicações hospedadas em cloud ou containers pode abrir caminhos adicionais para outros componentes do ambiente.[5]
Outro caminho é utilizar External Remote Services (T1133). VPNs, Citrix e outros mecanismos de acesso remoto podem servir como ponto de entrada. O MITRE também contempla situações envolvendo serviços expostos sem autenticação e cita, em ambientes de containers, exemplos como Docker API, Kubernetes API Server e kubelet.[6]
Isso ajuda a desmontar uma percepção comum: um ataque cibernético nem sempre começa com alguém clicando em um link malicioso. Às vezes, ele começa simplesmente porque alguma coisa que não deveria estar exposta está acessível pela Internet.
Isso acontece na prática?
Os números recentes ajudam a dimensionar o problema.
O M-Trends 2026, da Mandiant, baseado em mais de 500 mil horas de investigações de incidentes realizadas globalmente em 2025, aponta que a exploração de vulnerabilidades foi o vetor inicial mais observado pelo sexto ano consecutivo, respondendo por 32% das intrusões investigadas.[7]
A IBM X-Force, em seu Threat Intelligence Index 2026, identificou um crescimento de 44% em relação ao ano anterior na exploração de aplicações publicamente acessíveis como vetor de acesso inicial. O relatório também destaca outro dado importante: 56% das vulnerabilidades divulgadas analisadas não exigiam autenticação para serem exploradas com sucesso.[8]
A ENISA, em seu Threat Landscape 2026, também aponta a exploração de vulnerabilidades N-day e zero-day como um vetor frequente de intrusão. Entre os incidentes de acesso não autorizado nos quais foi possível determinar o vetor de entrada, 60% envolveram exploração de vulnerabilidades.[9]
Embora os estudos utilizem metodologias e conjuntos de dados distintos, há uma mensagem consistente entre eles: a exploração de sistemas acessíveis pela Internet permanece entre os principais caminhos utilizados para iniciar ataques cibernéticos.
Isso coloca a superfície externa da organização em uma posição crítica. Aplicações vulneráveis, serviços sensíveis ou legados expostos, acessos remotos, APIs, infraestrutura cloud e ativos desconhecidos não representam apenas problemas técnicos isolados — podem se transformar no ponto de partida de uma intrusão.
O problema não é apenas ter uma vulnerabilidade
Existe uma diferença importante entre uma vulnerabilidade existir e ela representar uma oportunidade imediata para um atacante.
Contexto importa.
Onde está o ativo?
Ele está acessível pela Internet?
Qual serviço está exposto?
Existe autenticação?
A vulnerabilidade é explorável?
Existe exploit conhecido?
O ativo contém informações sensíveis?
Ele oferece algum caminho para outros sistemas?
É um ativo conhecido pela organização?
Essas perguntas começam a transformar uma lista de vulnerabilidades em uma visão de exposição.
E talvez esse seja um dos pontos mais importantes para quem trabalha com segurança:
O atacante não enxerga a organização a partir do inventário interno. Ele enxerga aquilo que a Internet mostra.
Enquanto você lê este artigo…
Novos ativos podem estar sendo publicados.
Ambientes cloud podem estar sendo criados.
Novos subdomínios podem aparecer.
Serviços podem ser habilitados.
Configurações podem mudar.
Uma vulnerabilidade pode ser divulgada para uma tecnologia que já estava exposta há meses.
E ferramentas automatizadas podem identificar essas mudanças rapidamente.
A superfície externa de uma organização não é estática.
Ela muda.
E cada mudança pode criar uma nova oportunidade.
Por isso, talvez a pergunta mais interessante não seja apenas:
“Temos vulnerabilidades?”
Mas também:
“O que um atacante consegue descobrir sobre nós agora?”
No próximo artigo, vamos olhar para os dados: quais brechas, exposições e vetores de acesso inicial aparecem com maior frequência nos relatórios recentes de incidentes — e por que vulnerabilidades externas, serviços de borda, acessos remotos, configurações cloud e ativos esquecidos merecem atenção especial.
Porque entender como o atacante começa é o primeiro passo para entender o que precisamos enxergar antes dele.
Referências
- MITRE ATT&CK — Reconnaissance (TA0043)
- MITRE ATT&CK — Active Scanning (T1595)
- MITRE ATT&CK — Gather Victim Network Information (T1590)
- MITRE ATT&CK — Search Open Technical Databases (T1596)
- MITRE ATT&CK — Exploit Public-Facing Application (T1190)
- MITRE ATT&CK — External Remote Services (T1133)
- Google Cloud / Mandiant — M-Trends 2026 Report, dados de investigações conduzidas em 2025
- IBM X-Force — Threat Intelligence Index 2026, publicado em fevereiro de 2026
- European Union Agency for Cybersecurity (ENISA) — ENISA Threat Landscape 2026, dados referentes ao período de janeiro a dezembro de 2025
Continue explorando
- Superfície de ataque externa: o que os dados recentes mostram sobre o início dos ataques
- Attack Surface Management (ASM): enxergando a organização pela perspectiva do atacante
- O que é um vetor de ataque? Entenda a relação com a superfície de ataque
- O que é superfície de ataque e por que ela muda continuamente?
Quer levar essa visão para a sua superfície de ataque?
Conheça como o Lion Focus ajuda a descobrir, acompanhar, validar e priorizar exposições cibernéticas.
Leonnes Cybersecurity
Cyber Exposure Platform
