Marc Sureda
Historicamente, as organizações têm dependido de modelos de testes de segurança periódicos que proporcionam uma visibilidade parcial da sua exposição real ao risco. De acordo com investigações conjuntas realizadas com a empresa de análise Omdia, as empresas examinam, em média, apenas 32% da sua superfície de ataque. O que deixa milhares de ativos corporativos fora dos programas de revisão habituais e gera uma lacuna de cobertura significativa.
Durante o ano de 2025, o panorama geral das ameaças sofreu uma intensificação notável, uma vez que o registo de vulnerabilidades e exposições comuns publicadas aumentou 20% em relação ao ano anterior, atingindo 48 244 incidentes. Neste contexto, a empresa de cibersegurança Synack apresentou o seu “Relatório sobre o estado das vulnerabilidades de 2026”, baseado na análise de mais de 11 000 brechas exploráveis detetadas em ambientes de clientes ao longo do ano anterior. O documento revela que, embora o volume total de falhas de segurança se tenha mantido estável em relação a 2024, a gravidade das mesmas registou um aumento notável.
A análise revela que 37% das vulnerabilidades identificadas durante o ano passado foram classificadas como de gravidade elevada ou crítica. Os setores da indústria transformadora e da tecnologia concentraram a maior proporção destes incidentes de alto risco, com 43,1% e 40,0%, respetivamente. Ao desagregar as conclusões por tipo, as falhas de injeção representaram 40,6% do total. Seguiram-se as deficiências no controlo de acesso, que representaram 32,8%. Especificamente, as deteções de gravidade elevada aumentaram 10%, impulsionadas por aumentos consideráveis na execução remota de código, ataques de força bruta e injeção de conteúdo.
Esta mudança na superfície de ataque responde a um interesse crescente por parte dos atacantes em comprometer os sistemas de identidade, os limites de autenticação e encadear diferentes métodos de exploração. Os atacantes recorrem cada vez mais à IA para operar a maior velocidade, o que invalida a eficácia dos testes de penetração pontuais tradicionais. Consequentemente, as missões de segurança orientadas para infraestruturas de inteligência artificial e modelos de linguagem de grande dimensão dispararam 120% durante o último ano.
Para Mark Kuhr, diretor técnico e cofundador da Synack, “as regras mudaram em 2025, e agora o tempo é a maior vulnerabilidade. A questão já não é quantas vulnerabilidades existem, mas sim a rapidez com que os adversários as podem encontrar e explorar. As organizações que validam continuamente a segurança em todo o seu ambiente estão a responder mais rapidamente e a fechar mais cedo as janelas de exposição críticas”.
Nesta mesma linha, a responsável de marketing, Angela Heindl-Schober, adverte que: “Um volume estável de vulnerabilidades não é sinal de que o risco seja estável. A realidade é a crescente lacuna de cobertura entre as superfícies de ataque em expansão e o que as organizações estão realmente a testar. Os testes de penetração pontuais tradicionais não conseguem acompanhar o ritmo das ameaças impulsionadas pela IA. A validação contínua da segurança está a impor-se como o novo modelo operacional para a segurança empresarial“.
Perante este cenário, os dados mostram que a indústria começou a reagir positivamente através da adoção de novas dinâmicas de trabalho. As empresas que implementam sistemas de validação contínua conseguiram reduzir o tempo médio de correção de vulnerabilidades em 47% em todas as categorias de gravidade. Na prática, isto traduziu-se numa resolução, em média, 42 dias mais rápida para as falhas de gravidade elevada e 25 dias mais ágil para as de caráter crítico, fechando assim as janelas de exposição muito mais cedo em comparação com os registos de 2024.
Para responder à necessidade de analisar superfícies de ataque cada vez mais amplas e dinâmicas, o mercado avança para soluções que combinam tecnologia e supervisão manual. Ferramentas de penetração como o Sara automatizam as fases de reconhecimento, mapeamento e exploração de vulnerabilidades através de algoritmos autónomos, para que posteriormente equipas humanas de investigadores validem a explorabilidade real nos ambientes de produção e detetem aquelas rotas de ataque complexas que os sistemas automatizados costumam ignorar.
