Sim, o aplicativo web da sua empresa precisa de cibersegurança desde o primeiro dia
Se você tem um aplicativo web que sustenta o seu negócio, a resposta é clara: a segurança de aplicações web é o que impede seu aplicativo de sair do ar e protege os dados dos seus clientes contra roubo. Um aplicativo web é um programa que funciona no navegador, como uma loja virtual, um sistema de agendamento ou um portal onde os alunos entram. Esse programa fica aberto na internet o dia todo, e qualquer pessoa conectada pode bater à porta dele. A cibersegurança é um conjunto de medidas que impede a entrada de estranhos, detecta as tentativas e coloca o negócio de volta para funcionar rápido se algo der errado.
Nossa opinião é direta: não espere uma invasão para pensar em proteção. Invasão significa que alguém sem permissão entrou no seu sistema e leu, alterou ou travou os dados. Consertar o estrago depois leva dias ou semanas de trabalho parado, e a confiança de alguns clientes pode nunca voltar. Já a proteção construída desde o início trabalha em silêncio, nos bastidores, e seus clientes só a sentem como uma sensação de segurança.
Não importa se o seu negócio é pequeno. O dono de farmácia que vende pelo site, a gestora de clínica que guarda prontuários e o diretor de escola que publica notas na internet têm dados que valem algo para os invasores. A diferença entre quem sofre o prejuízo e quem escapa costuma estar em passos simples dados na hora certa: acesso seguro, atualização em dia e um backup testado. As próximas seções explicam esses passos em linguagem clara, e se aparecer um termo estranho, você encontra o significado no nosso glossário.
Por que os invasores também atacam pequenas empresas?
Muitos empresários acham que os invasores só procuram bancos e grandes empresas. Essa ideia faz com que adiem a proteção ano após ano. A verdade é que a pequena empresa é um alvo fácil, porque sua proteção costuma ser mais fraca e o dono não acompanha o que acontece no sistema.
Imagine uma rua com dez lojas. O ladrão não escolhe a loja mais rica, e sim a que deixou a porta aberta. Na internet acontece o mesmo, com uma diferença: aqui o ladrão testa milhares de portas em pouco tempo.
Os ataques são automáticos e não escolhem a vítima pelo nome
A maioria dos ataques não é feita por uma pessoa sentada na frente do seu site. Eles são feitos por programas automáticos chamados bots, que passam de site em site. Esses programas procuram uma página de login que aceite senhas fáceis ou um software antigo com uma falha conhecida.
Quando encontram uma porta aberta, entram sem perguntar o tamanho ou o nome da empresa. Por isso, uma pequena clínica em um bairro tranquilo recebe as mesmas tentativas que um site grande. A pergunta certa não é se alguém vai tentar entrar, e sim se vai encontrar a porta trancada quando tentar.
Seus dados valem algo para outras pessoas
Talvez você não veja nada de especial na sua lista de clientes, mas o invasor vê um tesouro. Nomes, telefones e endereços de clientes são vendidos e usados em mensagens de golpe. Prontuários de pacientes, notas de alunos e dados de funcionários são informações sensíveis que podem servir para chantagear o dono.
Existe outro tipo de ataque que não rouba nada: ele tranca seus arquivos e cobra um pagamento para liberá-los. Isso se chama ransomware, e atinge empresas que não têm um backup em bom estado. Nesse caso, cada dia parado é um prejuízo direto, mesmo que nenhum arquivo tenha sido roubado.
Estes são os prejuízos que uma invasão deixa para trás
Falar de invasão parece teoria até você ver o que acontece na manhã seguinte. O prejuízo não fica em um aparelho ou em um arquivo; ele chega aos clientes, aos funcionários e à reputação. Conhecer esses prejuízos em detalhe ajuda você a medir o valor da proteção de forma realista.
Os exemplos a seguir não são exagero. São o que um empresário enfrenta quando o aplicativo é invadido sem preparo. Cada um pode ser evitado ou reduzido com passos conhecidos, que mostramos mais adiante.
Os dados dos clientes saem do seu controle
O que costuma acontecer primeiro é o vazamento de dados, ou seja, eles chegam a quem não tem direito de vê-los. Em uma loja virtual, podem vazar os endereços, os telefones e o histórico de compras dos clientes. Depois, seus clientes recebem mensagens falsas com o nome da sua loja, pedindo os dados do cartão ou um código que chegou no celular.
O cliente não diferencia o invasor de você, porque vê o seu nome na mensagem. Por isso, o próprio sistema da loja precisa ser construído com boa proteção, como o sistema de gestão de lojas Storek, que reúne vendas, estoque e dados dos clientes em um único lugar protegido.
O negócio para na pior hora
Um ataque não escolhe um dia calmo. Seu site pode cair na época de festas, na semana de matrículas da escola ou em um dia cheio de consultas na clínica. Um dos ataques mais conhecidos é inundar o site com tantos pedidos que ele para de responder, e os clientes de verdade não conseguem acessá-lo.
Enquanto o site está fora do ar, não entram pedidos novos, os clientes ligam irritados e a equipe passa o tempo pedindo desculpas em vez de trabalhar. Se o problema for uma invasão e não só excesso de acessos, o sistema pode ficar fechado por dias, até a investigação, a limpeza e a volta segura ao funcionamento.
A confiança se perde, e problemas legais podem vir junto
O cliente que teve os dados roubados no seu site lembra disso por muito tempo. Alguns clientes vão embora em silêncio, outros contam a experiência nas redes sociais. Os buscadores também podem mostrar um aviso ao lado de um site invadido, e o novo visitante hesita antes de entrar.
Em muitos países, há leis que obrigam as empresas a proteger os dados das pessoas, como o regulamento europeu de proteção de dados conhecido como GDPR. A empresa que descuida da proteção pode ter de explicar o que aconteceu, avisar as pessoas afetadas e provar que tomou as medidas necessárias. É papelada, esforço e tempo que poderiam ter sido evitados.
Onde as falhas costumam se esconder nos aplicativos web?
Um ponto fraco, ou vulnerabilidade, é um pequeno erro no sistema que permite a alguém fazer o que não deveria. Você não o vê quando usa o sistema todos os dias, porque tudo parece normal. Mas ele aparece rápido para quem está procurando.
Pela nossa experiência, as falhas se repetem em poucos lugares conhecidos. Sabendo quais são, você pode perguntar ao seu time ou fornecedor sobre cada um pelo nome.
Entrar só com senha
A página de login é a porta da frente do seu aplicativo. Se o acesso depende só de uma senha, basta roubar uma para abrir a porta. Os funcionários costumam escolher senhas fáceis ou repetir a mesma em vários sites, e se ela for roubada em outro lugar, também abre o seu sistema.
A solução conhecida é o login em várias etapas. Depois da senha, o sistema pede um código que chega ao celular do funcionário ou a um aplicativo no aparelho. Mesmo que o invasor saiba a senha, ele não entra sem o celular. Além disso, bloqueamos a conta por um tempo depois de várias tentativas erradas, para que os bots não testem milhares de senhas.
Programas e plugins sem atualização
Todo aplicativo web depende de outros programas: o sistema operacional do servidor, a linguagem de programação, o banco de dados e plugins prontos. O servidor é a máquina onde o seu site funciona na internet. Quando alguém descobre uma falha nesses programas, o fabricante lança uma atualização que a corrige, e a descrição da falha fica pública para todos, inclusive para os invasores.
É aí que mora o perigo real. Um site que não é atualizado há meses carrega falhas já publicadas, que os invasores sabem como explorar. Por isso, atualizar precisa ser uma tarefa fixa, com data e responsável, e não algo que se lembra só quando dá problema. Uma hospedagem gerenciada e monitorada, como a hospedagem Hostrena, tira esse peso de você no nível do servidor.
Formulários e permissões abertos demais
O campo de busca, o formulário de contato e a área de envio de arquivos são lugares onde o visitante escreve o que quiser. Se o sistema não verifica o que é digitado, o invasor pode escrever comandos em vez de texto e ler ou alterar o banco de dados. Esse é um dos erros mais conhecidos da lista OWASP Top 10, uma lista reconhecida no mundo todo com as falhas mais perigosas dos aplicativos web.
Permissões abertas demais são um risco parecido. A recepcionista da clínica não precisa apagar prontuários, e quem cadastra produtos na loja não precisa mudar o preço de todo o catálogo. Quando cada conta tem mais permissões do que o trabalho exige, o roubo de qualquer conta vira uma catástrofe em vez de um problema limitado.
As camadas básicas que construímos em todo aplicativo
Uma boa proteção nunca depende de uma única tranca. São camadas, uma sobre a outra: se o invasor passa por uma, encontra outra à frente. Como uma casa com porta trancada, câmera e um cofre lá dentro.
Na Linkysoft, construímos essas camadas dentro dos aplicativos web e sistemas de gestão desde a fase de planejamento, e não depois que a programação termina. O motivo é simples: colocar proteção em um sistema pronto é mais difícil e demorado do que construí-la junto desde o começo.
A criptografia deixa os dados roubados sem utilidade
Criptografar é transformar os dados em códigos que só quem tem a chave certa consegue entender. Criptografamos os dados no caminho, ou seja, enquanto viajam entre o aparelho do cliente e o servidor, para que ninguém consiga lê-los na internet. E também criptografamos quando estão guardados no banco de dados.
O benefício aparece no pior dia. Se alguém chegar aos arquivos do banco de dados, vai encontrar códigos sem sentido em vez de nomes e telefones de clientes. Guardamos as chaves de criptografia em cofres próprios, longe dos dados, para que chaves e dados não sejam roubados juntos.
Cada funcionário vê só o que precisa
Dividimos as permissões de acordo com a função. O médico vê os prontuários dos pacientes dele, o contador vê as faturas e a recepção vê os agendamentos. Esse método se chama permissão por função, e faz com que qualquer erro ou roubo de conta fique limitado a uma parte pequena do sistema.
Isso é ainda mais importante em sistemas com dados sensíveis, como o sistema Docmz de gestão de clínicas e hospitais, ou sistemas escolares com dados de crianças. Junto com isso, adicionamos o login em várias etapas para as contas importantes, principalmente as dos gestores, que têm permissões mais amplas.
Backups testados e um registro de cada ação
O backup é uma cópia dos seus dados guardada em outro lugar, para você recuperar se o original se perder. Mas um backup que nunca foi testado pode falhar justamente no dia em que você precisar. Por isso, criptografamos e protegemos os backups e testamos de verdade a recuperação, para saber que funcionam antes de precisarmos deles.
A última camada é o log de auditoria, um registro que anota quem fez o quê e quando. Se um pedido sumir ou um preço mudar, o registro mostra qual conta fez isso e a que horas. Esse registro ajuda a descobrir uma invasão e também a resolver desentendimentos do dia a dia entre funcionários.
Como o teste de invasão revela o que sua equipe não vê?
O programador que construiu o sistema sabe como ele deve funcionar, e por isso tem dificuldade de imaginar todas as formas de quebrá-lo. O teste de invasão resolve esse problema. É um ataque seguro e combinado, feito por um especialista que pensa como invasor, mas cujo objetivo é encontrar as falhas e entregá-las a você antes de qualquer outra pessoa.
Achamos que todo aplicativo que guarda dados de clientes ou pagamentos deve passar por esse teste antes de ser lançado. Ele é parte central dos serviços de cibersegurança que oferecemos, tanto para sistemas novos quanto para os que já existem.
O que acontece durante o teste?
O especialista começa combinando com você os limites do teste: quais partes do sistema, em quais dias e o que não pode ser tocado. Depois, ele tenta o que um invasor de verdade tentaria nas páginas web, no aplicativo de celular, na rede e nas interfaces que ligam os sistemas. Ele junta ferramentas automáticas, que verificam rápido, com análise humana, que encontra os erros que as ferramentas não enxergam.
O teste segue métodos reconhecidos no mundo todo, como OWASP e NIST, para não depender de humor ou sorte. E é seguro: não apaga seus dados nem para o seu negócio, porque o objetivo é provar que a falha existe, e não explorá-la para causar dano.
O que você recebe no final, e quando repetir o teste?
No final, você recebe uma lista escrita em linguagem clara com cada falha encontrada. Cada uma vem com uma explicação simples do que pode acontecer, do nível de gravidade e de como corrigir. Depois das correções, refazemos o teste para confirmar que cada falha foi fechada de verdade, e não só no papel.
Um único teste não vale para sempre. Cada mudança grande no sistema, como um novo meio de pagamento ou um novo aplicativo de celular, pode abrir uma porta que antes não existia. Por isso, recomendamos repetir o teste depois de toda mudança importante e também de forma periódica, mesmo que nada tenha mudado, porque novas falhas são descobertas nos programas o tempo todo.
A proteção continua depois do dia do lançamento
Muitos sistemas são bem construídos e depois deixados de lado. Alguns meses depois, surgem novas falhas nos programas, os funcionários mudam e funções são adicionadas às pressas, sem revisão. O sistema que estava seguro no dia do lançamento não continua seguro sozinho.
Por isso, tratamos a proteção como um trabalho contínuo, com ferramentas e responsáveis. As próximas seções explicam o que deve acontecer todo dia e toda semana, e o que fazer quando um incidente realmente acontece.
Verificação contínua e monitoramento 24 horas
Verificação contínua significa que ferramentas examinam seu sistema regularmente em busca de falhas conhecidas e avisam a equipe quando encontram uma. É como fazer a revisão do carro com frequência em vez de esperar ele quebrar na estrada. A verificação encontra programas desatualizados e configurações erradas antes que outra pessoa encontre.
O monitoramento é um olho que fica aberto dia e noite. Se alguém tenta entrar centenas de vezes em poucos minutos, ou a conta de um gestor entra de um país estranho no meio da madrugada, chega um alerta na hora. Descobrir uma invasão em uma hora ou depois de semanas é a diferença entre um problema pequeno e uma catástrofe.
Um escudo na frente do aplicativo
O firewall de aplicação web é um escudo que fica entre a internet e o seu aplicativo. Todo pedido que chega ao seu site passa primeiro por ele, que deixa passar os pedidos normais e bloqueia os maliciosos. Ele barra, por exemplo, tentativas de digitar comandos nos formulários e bots que testam senhas.
Esse escudo também ajuda contra enxurradas de pedidos, porque diferencia o movimento real de clientes em um dia de promoção de um ataque que quer derrubar o seu site. Ele não substitui a correção das falhas dentro do aplicativo, mas ganha tempo para você e impede que a maioria dos ataques automáticos sequer chegue até ele.
Um plano pronto para quando o incidente acontecer
Por melhor que seja a proteção, você precisa saber o que fazer se algo acontecer. A empresa sem plano perde as primeiras horas em confusão e telefonemas. A empresa preparada age com passos claros que todos conhecem:
- Contenção: isolar a parte afetada para que o dano não se espalhe pelo resto do sistema.
- Investigação: descobrir como o invasor entrou, quando e no que mexeu.
- Limpeza: remover qualquer rastro que ele deixou e recuperar os dados de uma cópia em bom estado.
- Fechamento da falha: consertar a porta por onde ele entrou, para que não volte pelo mesmo caminho.
Seus funcionários são a primeira linha de defesa
Os ataques mais bem-sucedidos não começam com uma falha no código, mas com uma mensagem. O funcionário recebe um e-mail que parece ser do banco ou do chefe, pedindo para clicar em um link e digitar a senha. Esse golpe se chama phishing, e ele passa pelos melhores sistemas se um único funcionário cair.
O treinamento de conscientização em segurança ensina os funcionários a reconhecer os sinais de uma mensagem falsa e a nunca passar um código de acesso para ninguém, não importa o que a pessoa diga. Também ensina a avisar na hora sobre qualquer mensagem suspeita, em vez de ter vergonha do erro. Poucas horas de treinamento podem barrar o ataque mais perigoso que o seu negócio pode enfrentar.
O que define o tamanho do trabalho de proteção e o seu custo?
Não existe uma proposta única que sirva para toda empresa, porque o tamanho do trabalho muda de um sistema para outro. Um site institucional de cinco páginas precisa de muito menos trabalho do que uma plataforma com pagamentos e milhares de usuários. Saber o que aumenta e o que reduz o esforço ajuda você a entender qualquer orçamento que receber.
A regra geral: quanto mais portas o sistema tem e mais sensível é o que está dentro dele, mais trabalho é preciso para protegê-lo. Os itens a seguir são o que toda equipe séria analisa antes de estimar o tamanho da tarefa.
O tamanho do aplicativo e a sensibilidade dos dados
O número de páginas, os tipos de usuários e a quantidade de sistemas ligados ao aplicativo aumentam a área a ser verificada. Um sistema com portal de clientes, portal de funcionários, aplicativo de celular e ligação com um meio de pagamento precisa ter todas essas partes verificadas. Um sistema com uma única página de login para poucos funcionários é bem mais simples.
A sensibilidade dos dados muda o cenário. Prontuários, notas de alunos e dados de pagamento precisam de criptografia mais rigorosa, de um log de auditoria mais amplo e, às vezes, de documentos de conformidade legal. Uma plataforma de ensino como o sistema de gestão de aprendizagem Acad guarda dados de alunos e, por isso, exige mais cuidado do que um site que mostra um cardápio.
Aplicativo novo, ou um que já existe e foi feito por outra equipe?
O aplicativo novo é mais fácil de proteger, porque as camadas são construídas junto com ele desde o começo, dentro do plano. Já o aplicativo existente, principalmente se a equipe que o fez não está mais por perto, precisa primeiro ser entendido. O código pode não ter documentação, os programas podem estar desatualizados e as permissões, misturadas.
Nesse caso, começamos com uma verificação que mostra a situação real e depois organizamos as correções por gravidade. Primeiro fechamos o que pode causar vazamento de dados ou parar o negócio, e depois passamos ao que tem menos risco, em etapas. Assim o seu negócio não para, e você não gasta esforço com detalhes antes de resolver o que é grave.
Perguntas para fazer a qualquer fornecedor antes de aceitar
Uma boa proposta responde perguntas claras, e uma proposta fraca foge delas. Antes de aceitar qualquer serviço de proteção, peça respostas por escrito para estas perguntas:
- O que exatamente a verificação cobre: só o site, ou também o aplicativo, a versão de celular e as interfaces de integração?
- Você vai receber um relatório escrito em linguagem clara, com a forma de corrigir cada falha?
- O novo teste depois das correções está incluído no acordo ou é cobrado à parte?
- Quem monitora o sistema à noite e nos feriados, e quanto tempo leva para responder a um alerta?
- O que acontece nas primeiras horas se houver um incidente, e quem liga para quem?
- O código e os dados continuam sendo totalmente seus se você encerrar o contrato?
Perguntas que empresários fazem sobre a proteção dos seus aplicativos
Reunimos aqui perguntas que ouvimos com frequência de donos de loja e gestores de clínicas e escolas. As respostas são curtas e diretas, para ajudar você a decidir sem precisar de conhecimento técnico.
Se a sua pergunta não estiver aqui, você encontra outras na lista de perguntas no fim do artigo e na central de ajuda do nosso site.
Uma boa hospedagem basta para proteger meu aplicativo?
Uma boa hospedagem protege o servidor onde o seu aplicativo funciona, e isso é importante, mas não é tudo. Se o próprio aplicativo tiver uma falha, como um formulário que aceita comandos ou permissões abertas, nem o melhor servidor vai impedir o invasor de explorá-la. A proteção de verdade junta um servidor protegido com um aplicativo construído de forma segura. Pense em uma casa em um bairro seguro: você ainda precisa trancar a sua porta.
Como saber se meu aplicativo foi invadido?
Alguns sinais são claros, como páginas com o conteúdo alterado, contas que ninguém conhece ou clientes reclamando de mensagens estranhas com o seu nome. Outros são discretos, como uma lentidão sem explicação ou visitantes sendo levados para outros sites. O problema é que muitas invasões ficam em silêncio por semanas, sem nenhum sinal. Por isso, o monitoramento contínuo e o log de auditoria são o único caminho para saber cedo.
Meu negócio para durante um teste de invasão?
Não, na maioria dos casos nada para. O especialista combina com você antes quais partes vai testar e em quais horários, e evita qualquer passo que possa afetar o trabalho ou apagar dados. Em sistemas sensíveis, o teste pode ser feito em uma cópia idêntica do sistema, e não na que os clientes usam. Assim você recebe os resultados sem que seus clientes percebam nada.
Quanto tempo leva para proteger um aplicativo que já existe?
Depende do tamanho do aplicativo e do estado em que ele está. A primeira verificação de um aplicativo pequeno pode terminar em poucos dias, enquanto plataformas grandes, com muitas partes, levam semanas. Depois da verificação vêm as correções, organizadas por gravidade: as falhas graves costumam ser fechadas primeiro, em poucos dias, e o restante é feito em etapas.
Preciso de uma equipe de segurança dentro da minha empresa?
A maioria das pequenas e médias empresas não precisa de uma equipe completa interna. Em geral, basta ter uma pessoa responsável pelo assunto dentro da empresa e um parceiro externo especializado que cuide da verificação, do monitoramento e da resposta a incidentes. O importante é que as responsabilidades estejam escritas e claras, para que nenhum dos lados ache que o outro está cuidando. Quanto maior o sistema e mais sensíveis os dados, mais próximo precisa ser o acompanhamento.
Comece com estes três passos nesta semana
Você não precisa de um plano enorme para começar. O primeiro passo é fazer uma lista de tudo o que o seu negócio tem na internet, o site, a loja, o sistema de agendamento, o aplicativo de celular, e de quem tem acesso a cada um. O segundo passo é ativar o login em várias etapas em todas as contas de gestores e apagar as contas de funcionários que já saíram. O terceiro passo é fazer uma única pergunta a quem cuida do seu sistema: quando foi a última vez que testamos de verdade a recuperação do backup?
Depois disso, vem a verificação especializada. Na Linkysoft, oferecemos uma verificação de segurança gratuita e uma consultoria, em que analisamos o seu aplicativo e damos uma visão clara das falhas mais graves e do que precisa ser corrigido primeiro, seja o sistema feito por nós ou por outra equipe. Você pode pedir pela nossa página de contato e, se quiser ler mais antes de decidir, encontra respostas práticas na nossa central de ajuda.
