Programa Software Seguro · NilWave
O seu sistema não é só um produto. É a operação de quem depende dele.
Se ele vazar ou parar, não é um cliente que te liga. São todos, no mesmo dia. E isso sempre começa por uma falha só. A primeira, a gente acha de graça, para você ver com os seus olhos o que está aberto hoje.
As superfícies
Por onde um sistema vendido como serviço costuma ser atacado
- A autenticação e a sessãoLogin, token que não expira, recuperação de senha.
- A separação de dados entre um cliente e outroO que garante que uma conta não alcança a conta vizinha.
- As integrações e as chaves delasAPI, webhook e token guardado onde não devia.
- O upload e o processamento de arquivoPlanilha, imagem, anexo: tudo que entra de fora.
- O que está exposto no servidorPorta aberta, backup acessível, painel de administração alcançável.
Como funciona
Quatro passos, e o primeiro é você autorizar
- Você autoriza por escrito. Uma mensagem, com escopo definido, que você mesmo lê antes de mandar. Junto dela, você cria uma conta de teste no seu sistema para a gente trabalhar com o mesmo acesso que um usuário comum tem.
- A gente mapeia as superfícies de ataque do seu sistema, para saber por onde ele pode ser alcançado.
- Você recebe o relatório com o mapa e a primeira vulnerabilidade válida que a gente encontrar, sem pagar nada.
- Aí, e só aí, a gente conversa sobre preço. Você decide com o relatório na mão, já sabendo o que tem no seu sistema e como a gente trabalha. Os 30 dias da autorização são a validade dela, não o tempo que o trabalho leva.
A primeira falha
Como a primeira falha costuma aparecer num sistema desses
Um endereço que devia exigir login respondendo sem login nenhum, e devolvendo dado de cliente. Acontece quando uma tela nova sobe sem a checagem que todas as outras têm.
Por que isso dói: Não precisa de invasor habilidoso, basta alguém curioso com o endereço na mão. E o dado que sai é dos seus clientes, não o seu.
Sem custo
Exatamente o que você recebe sem pagar nada
- O mapa das superfícies de ataque do seu sistema.
- Uma vulnerabilidade válida, com prova que você mesmo pode repetir, passo a passo.
- A severidade dela, classificada por critério público.
- O impacto escrito em linguagem de dono, não de técnico.
- O caminho da correção.
Trabalho conduzido com base em metodologias públicas e auditáveis: PTES e OWASP WSTG.
Quem está falando
Quem vai testar o seu sistema tem nome, CNPJ e histórico
A NilWave é a consultoria de segurança ofensiva de Nilson Gabriel Leal Gama, CNPJ 64.662.171/0001-69. Quem conversa com você é quem faz o teste e quem escreve o relatório, sem intermediário no meio.
Organizações que já receberam e reconheceram vulnerabilidades reportadas por mim, com link público de reconhecimento onde ele existe:
A carta da NASA abre essa lista porque é a mais fácil de conferir: ela está em nome próprio, assinada pelo escritório de segurança da informação da agência, e você pode ler o documento inteiro no link acima antes de me responder qualquer coisa.
Não citamos host, endereço, falha reproduzível nem detalhe de nenhum achado. Discrição é parte da credencial.
Os limites
O que a gente não faz no seu sistema
- Não derruba e não degrada o serviço.
- Não apaga e não altera dados.
- Não baixa base de dados dos seus clientes.
- Não testa nada fora do sistema que você indicar.
Autorizar a análise
Nada acontece no seu sistema até você mandar esta mensagem.
Ela é o que nos autoriza a começar, e é ela que limita o que podemos fazer. É exatamente este texto que vai abrir no seu WhatsApp.
- Abre já escrito, com o nome da sua empresa e o CNPJ preenchidos.
- Você completa o seu nome e qual sistema entra no teste.
- Nada é enviado sozinho. Você revisa, edita se quiser, e só então toca em enviar.
Eu, [seu nome], responsável pela [sua empresa], CNPJ [CNPJ], autorizo a NilWave (Nilson Gabriel Leal Gama, CNPJ 64.662.171/0001-69) a realizar testes de segurança no sistema [nome ou endereço do sistema]. O objetivo é encontrar a primeira vulnerabilidade válida, de qualquer severidade (baixa, média, alta ou crítica). A análise termina na primeira vulnerabilidade válida encontrada. Fica combinado que a NilWave não vai: derrubar ou degradar o serviço, apagar ou alterar dados, baixar base de dados dos meus clientes, nem testar nada fora do sistema indicado acima. Autorização válida por 30 dias a partir de hoje.
pré-visualização, não é um envio
Depois eu te mando a mesma autorização em uma página, para assinar. A mensagem já serve para começar.