E quando corrigir a falha não te protege da invasão?

Por Bruno Telles e Caio Telles, fundadores da BugHunt

Corrigir falhas de segurança não significa, necessariamente, que os sistemas e o ambiente tecnológico estejam seguros.. Os recentes episódios de exposição de dados no Brasil mostram que a proteção de sistemas ainda enfrenta um problema que vai além da descoberta de vulnerabilidades, garantindo que elas tenham sido efetivamente eliminadas.

No primeiro semestre de 2026, o país foi o principal alvo de ataques de negação de serviço na América Latina, com 487 mil ocorrências, segundo a NETSCOUT. E, somente em outubro, dois incidentes de grande repercussão vieram a público. O Hospital Israelita Albert Einstein informou que parte de sua base de pacientes havia sido acessada sem autorização, em um caso investigado pela Polícia Federal, enquanto reportagens revelaram a exposição de dados ligados ao Smart Sampa, programa de câmeras da Prefeitura de São Paulo.

Quem se depara com essas informações costuma se perguntar como aquilo foi possível. Para quem trabalha com segurança, existe uma pergunta anterior e menos discutida, que é saber se a falha explorada já era conhecida e se já constava como corrigida. Nos casos recentes essa resposta ainda não foi divulgada, mas a dúvida ajuda a entender por que tantos ataques seguem funcionando.

É comum que a segurança de uma empresa seja medida pelas vulnerabilidades que ela encontra, e que cada uma delas seja dada como encerrada assim que a correção é aplicada. O relatório anual de violações de dados da Verizon, divulgado em 2026, mostra o quanto essa conta pode estar distante da realidade, já que apenas 26% das vulnerabilidades sabidamente exploradas por criminosos foram corrigidas por completo pelas organizações em 2025. Na maior parte das demais, a correção chegou a uma parte dos sistemas afetados e deixou outra exposta. Diante desse quadro, a validação de uma correção merece receber o mesmo peso que a descoberta da falha.

Sem uma nova rodada de testes, a organização não consegue garantir que a vulnerabilidade foi eliminada. Uma correção pode resolver o problema em determinado sistema e deixar outros pontos do ambiente expostos, mantendo aberta uma possibilidade de exploração. Por isso, validar uma correção não deve ser tratado como uma etapa complementar, mas como parte indispensável da própria resposta a um incidente de segurança.Nos programas de bug bounty, em que pesquisadores independentes examinam sistemas de forma contínua, esse novo teste faz parte do próprio ciclo da atividade, através dos retestes.

Quem testa sistemas no dia a dia sabe que uma mesma vulnerabilidade pode estar presente em vários pontos de um ambiente, em servidores, versões e integrações diferentes, e que a correção aplicada em um deles não chega sozinha aos demais. Há ainda equipamentos antigos que continuam em operação muito depois de deixarem de receber atualizações, como lembrou o ataque que em outubro elevou a temperatura de geladeiras em centenas de supermercados na França. Segundo a fabricante Danfoss, a maior parte dos controladores atingidos era de modelos que já não recebiam suporte.

Esse cenário acende um alerta para a Black Friday, data que reúne, em poucos dias, o maior volume de acessos do comércio eletrônico e a atenção redobrada de quem procura explorá-lo. Na edição de 2025, o varejo online brasileiro recebeu 8,69 milhões de pedidos em um único dia, segundo a Confi Neotrust, e na edição anterior a Serasa Experian registrou 333 tentativas de fraude por hora no setor. Um sistema indisponível ou comprometido nesse período afeta diretamente as vendas de uma das datas mais importantes do calendário do setor. Chegar à data com as correções dos últimos meses confirmadas por novos testes reduz a incerteza justamente quando um incidente pesa mais no faturamento.

Encontrar vulnerabilidades seguirá sendo uma atividadeindispensável, mas o amadurecimento da segurança no Brasil depende também da disposição de voltar àquilo que já foi dado como resolvido e conferir, com um novo teste, se a correção cumpriu de fato o seu papel.

Bruno Telles e Caio Telles são engenheiros de computação, atuam há mais de quinze anos em segurança da informação e são fundadores da BugHunt, primeira plataforma de bug bounty do Brasil.