No artigo anterior, fizemos um exercício: olhar para uma organização a partir da perspectiva de quem está do lado de fora – um adversário.
Antes de atacar, o adversário pode pesquisar domínios, subdomínios, aplicações, APIs, endereços IP, serviços, tecnologias e outros elementos acessíveis pela Internet. Aos poucos, ele constrói um mapa da superfície de ataque da organização e procura oportunidades.
Mas qual é a importância desse processo em ataques reais?
Os dados publicados em 2026 por algumas das principais organizações de pesquisa e resposta a incidentes ajudam a responder essa pergunta.
Embora cada estudo utilize sua própria metodologia e conjunto de dados, há uma tendência consistente: a exploração de vulnerabilidades e sistemas acessíveis pela Internet continua ocupando uma posição central no início de ataques cibernéticos.
Quando a vulnerabilidade se transforma em porta de entrada
O Verizon Data Breach Investigations Report (DBIR) 2026 trouxe uma mudança importante.
Pela primeira vez nos 19 anos do relatório, a exploração de vulnerabilidades ultrapassou o uso de credenciais roubadas como principal ponto de entrada dos breaches analisados.
A exploração de vulnerabilidades esteve presente no acesso inicial de 31% dos breaches, enquanto o abuso de credenciais representou 13%.[1]
O M-Trends 2026, da Mandiant, apresenta um cenário semelhante a partir das investigações realizadas pela empresa. Baseado em mais de 500 mil horas de investigações de incidentes conduzidas em 2025, o relatório aponta que exploits foram o vetor inicial mais observado pelo sexto ano consecutivo, representando 32% das intrusões investigadas.[2]
Já a IBM X-Force, analisando seus dados de incident response e investigações de 2025, identificou um crescimento de 44% em relação ao ano anterior na exploração de aplicações publicamente acessíveis como vetor inicial de acesso.[3]
São bases e metodologias diferentes, mas os resultados convergem em um ponto importante: aquilo que está acessível externamente está oferecendo oportunidades concretas para o início de intrusões.
O problema está na combinação entre exposição e oportunidade
Uma vulnerabilidade existente em um sistema interno e isolado não apresenta o mesmo cenário que uma vulnerabilidade presente em uma aplicação acessível diretamente pela Internet.
Quando um sistema está publicamente acessível, ele também pode ser encontrado, analisado e testado por terceiros.
E isso não se limita a websites.
A superfície externa pode incluir:
- Aplicações Web e APIs.
- VPNs e outros serviços de acesso remoto.
- Firewalls, gateways e dispositivos de edge.
- Interfaces administrativas e serviços sensíveis.
- Sistemas legados ainda publicados.
- Ambientes de desenvolvimento ou homologação.
- Infraestrutura e serviços cloud.
- Ativos desconhecidos ou esquecidos.
Cada um desses elementos pode apresentar vulnerabilidades, configurações inadequadas, softwares desatualizados ou serviços que não deveriam estar acessíveis daquela forma.
É justamente essa combinação entre ativo acessível + exposição existente + possibilidade de exploração que pode transformar um problema técnico em uma oportunidade real para um atacante.
Sistemas de borda estão particularmente próximos do atacante
Existe ainda uma característica importante nos sistemas posicionados na borda da infraestrutura: por definição, muitos deles precisam estar acessíveis externamente.
VPNs, gateways, appliances de segurança, dispositivos de rede e outros sistemas de edge frequentemente desempenham justamente o papel de conectar ambientes internos com redes externas.
Isso também os coloca diretamente no campo de visão dos atacantes.
O M-Trends 2026 destaca a exploração de vulnerabilidades zero-day em dispositivos de edge e chama atenção para outro problema: esses equipamentos frequentemente não possuem a mesma telemetria disponível em endpoints tradicionais, o que pode dificultar a detecção de atividades maliciosas.[2]
A recomendação da própria Mandiant é explícita: organizações devem gerenciar agressivamente suas superfícies de ataque expostas à Internet, priorizando correções rápidas, análise de vulnerabilidades e isolamento adequado de servidores Web externos frequentemente visados por campanhas envolvendo vulnerabilidades zero-day e N-day.[2]
Ou seja, não estamos falando apenas de descobrir vulnerabilidades. Estamos falando de entender onde elas estão e como aquele sistema se relaciona com a Internet.
O tempo entre descoberta e exploração importa
Existe outro componente importante nessa equação: tempo.
Quando uma vulnerabilidade é divulgada, a organização precisa identificar se possui a tecnologia afetada, localizar os ativos correspondentes, entender quais estão expostos e realizar a correção ou aplicar controles compensatórios.
O atacante trabalha no sentido contrário.
Ele pode procurar rapidamente sistemas vulneráveis acessíveis pela Internet e tentar explorá-los antes que a correção aconteça.
O DBIR 2026 mostra o tamanho desse desafio. Entre as vulnerabilidades críticas consideradas pelo relatório — definidas a partir do catálogo Known Exploited Vulnerabilities (KEV) da CISA — apenas 26% foram completamente remediadas pelas organizações em 2025. No ano anterior, esse percentual havia sido de 38%.[1]
O tempo necessário para a remediação completa também aumentou de 32 para 43 dias.[1]
Isso cria uma janela importante entre três momentos:
- A vulnerabilidade passa a ser conhecida ou explorada.
- Atacantes começam a procurar sistemas afetados.
- A organização consegue identificar e corrigir seus ativos expostos.
Quanto maior essa janela, maior pode ser a oportunidade disponível para exploração.
Nem toda exploração exige autenticação
Outro dado ajuda a entender por que sistemas publicamente acessíveis merecem atenção especial.
O IBM X-Force Threat Intelligence Index 2026 aponta que 56% das vulnerabilidades divulgadas analisadas não exigiam autenticação para serem exploradas com sucesso.[3]
Isso significa que, em muitos casos, um atacante não precisa começar obtendo usuário e senha.
Se o sistema vulnerável estiver acessível e as condições necessárias para exploração estiverem presentes, a própria exposição pode fornecer a oportunidade inicial.
A IBM também relaciona o aumento observado na exploração de aplicações publicamente acessíveis a lacunas básicas de segurança, incluindo controles de autenticação ausentes e descoberta mais rápida de vulnerabilidades.
Nesse cenário, descobrir rapidamente o que está acessível externamente e quais exposições existem nesses ativos passa a ter importância direta na redução da janela disponível para o atacante.
E não são apenas vulnerabilidades
Quando falamos em superfície de ataque externa, limitar a análise a CVEs conhecidos oferece apenas parte da visão.
Um atacante também pode procurar:
- Serviços administrativos expostos.
- Configurações inadequadas.
- APIs publicadas sem os controles esperados.
- Storages cloud acessíveis indevidamente.
- API Keys e secrets expostos.
- Credenciais vazadas.
- Documentos sensíveis disponíveis publicamente.
- Sistemas e ambientes que a própria organização deixou de acompanhar.
Nenhum desses elementos precisa necessariamente começar com uma vulnerabilidade tradicional de software.
O ponto em comum é outro: eles podem ser descobertos a partir da perspectiva externa e utilizados para ampliar as possibilidades de ataque.
Por isso, olhar apenas para vulnerabilidades conhecidas não significa necessariamente enxergar toda a exposição existente.
Os dados contam uma história consistente
O cenário também aparece nos dados europeus.
A ENISA, em seu Threat Landscape 2026, afirma que a exploração de vulnerabilidades N-day e zero-day permanece como um vetor prevalente de intrusão. Entre os incidentes de acesso não autorizado nos quais a agência conseguiu determinar o vetor de intrusão, 60% envolveram a exploração de uma vulnerabilidade.[4]
A ENISA também chama atenção para um aspecto mais amplo: dependências digitais e ambientes cada vez mais interconectados estão expandindo a superfície de ataque das organizações.[4]
Quando colocamos os diferentes estudos lado a lado, não precisamos transformar seus percentuais em uma única métrica para perceber a direção:
Verizon: 31% dos breaches analisados começaram com exploração de vulnerabilidades.[1]
Mandiant: exploits foram o vetor inicial mais observado pelo sexto ano consecutivo, representando 32% das intrusões investigadas.[2]
IBM X-Force: aumento de 44% na exploração de aplicações publicamente acessíveis como vetor inicial de acesso.[3]
ENISA: exploração de vulnerabilidades N-day e zero-day permanece um vetor prevalente de intrusão.[4]
São perspectivas diferentes sobre um mesmo problema operacional: sistemas acessíveis externamente continuam sendo utilizados por atacantes para encontrar oportunidades e iniciar intrusões.
A superfície externa muda continuamente
Existe, porém, uma dificuldade adicional.
A superfície de ataque de uma organização não permanece igual.
Novas aplicações entram em produção. Ambientes cloud são criados. APIs são publicadas. Subdomínios aparecem. Serviços são habilitados. Fornecedores conectam novos sistemas. Configurações mudam.
Ao mesmo tempo, novas vulnerabilidades são divulgadas e novas técnicas de exploração se tornam disponíveis.
Um ativo que ontem não representava uma exposição importante pode representar uma hoje.
E um sistema que a equipe de segurança acredita ter retirado de operação pode continuar acessível externamente.
Por isso, conhecer a superfície externa não pode ser apenas uma fotografia realizada em determinado momento.
Precisa ser uma capacidade contínua.
A pergunta deixa de ser apenas “temos vulnerabilidades?”
Os dados recentes reforçam que vulnerabilidades e sistemas publicamente acessíveis continuam desempenhando um papel importante no início de ataques reais.
Mas eles também apontam para uma questão maior.
Não basta perguntar:
“Quais vulnerabilidades conhecemos?”
É necessário perguntar também:
“Quais ativos estão realmente expostos?”
“O que mudou desde a última análise?”
“Existem sistemas que não estão no nosso inventário?”
“Quais exposições podem ser encontradas por alguém olhando de fora?”
E, talvez, a pergunta mais importante:
“Conseguimos descobrir essas mudanças antes que elas se transformem em uma oportunidade para um atacante?”
É a partir dessa necessidade — descobrir, acompanhar e compreender continuamente a superfície de ataque externa — que começamos a entrar no próximo tema desta série: Attack Surface Management (ASM/EASM).
Referências
- Verizon — 2026 Data Breach Investigations Report (DBIR)
- Google Cloud / Mandiant — M-Trends 2026 Report: Executive Edition
- IBM X-Force — Threat Intelligence Index 2026
- European Union Agency for Cybersecurity (ENISA) — ENISA Threat Landscape 2026
Continue explorando
- Como começa um ataque cibernético?
- Attack Surface Management (ASM): enxergando a organização pela perspectiva do atacante
- Superfície de ataque externa: 7 pontos cegos que ampliam a exposição
- O que é superfície de ataque e por que ela muda continuamente?
Quer levar essa visão para a sua superfície de ataque?
Conheça como o Lion Focus ajuda a descobrir, acompanhar, validar e priorizar exposições cibernéticas.
Leonnes Cybersecurity
Cyber Exposure Platform
