Blog de Cibersegurança

Artigos publicados

• MFA Não É Bala de Prata: Como Atacantes Burlam a Autenticação Multifator e Como Testar a Sua AiTM, fadiga de notificações e roubo de sessão passam por MFA de SMS e de aprovação simples sem derrubar o login. Veja como cada ataque funciona, o que trocar primeiro e como testar se o seu MFA aguenta um ataque real.
• LDL Security no Jornal da Record: 109 organizações expostas por ransomware em 2026 Na reportagem de 27 de outubro sobre vazamento de dados e golpes digitais, o Jornal da Record usou os números da LDL Labs: 109 organizações brasileiras expostas por grupos de ransomware de janeiro a setembro de 2026, 51% a mais que no mesmo período de 2025.
• Segurança do Pix em 2026: Resolução BCB 554 e a Nova Agenda Antifraude do Banco Central O Banco Central publicou a Resolução BCB 554/2026, que mexe na gestão da Conta PI, e listou no Relatório de Gestão do Pix oito frentes de segurança em desenvolvimento, de um indicador de probabilidade de fraude a novas medidas cautelares. Veja o que já vale e o que ainda está em discussão.
• Questionário de segurança do cliente: como um SaaS responde sem travar a venda O questionário de segurança virou etapa de venda em SaaS B2B. Veja o que os clientes perguntam, como responder com evidência e o que nunca enviar.
• Resolução BCB 498/2025: o que muda para o PSTI e para a fintech que depende dele O Banco Central passou a credenciar os provedores de tecnologia que ligam instituições ao sistema financeiro. Veja o que a norma exige do PSTI e de quem o contrata.
• Shadow AI: Os Riscos de IA Sem Governança nas Empresas Funcionários colando dados em ferramentas de IA sem aprovação da TI já são rotina, e a empresa costuma descobrir só depois que o dado vazou. Veja como mapear, controlar e formalizar o uso de IA generativa antes que isso vire um incidente de segurança ou uma brecha na LGPD.
• ISO 42001 e Governança de IA: Por Que Contratos B2B Já Exigem Comprovação Auditável Grandes empresas já pedem comprovação de governança de IA antes de assinar contrato, e a ISO/IEC 42001 virou a credencial de referência para isso. Veja o que a norma exige na prática e onde o pentest entra nessa avaliação.
• VPN e RDP Expostos: Como Invasores Entram Pela Borda e Como Testar Seu Acesso Remoto Uma VPN sem patch ou um RDP publicado na internet dá ao atacante acesso de funcionário, sem exploit sofisticado. Veja as 5 falhas mais comuns de acesso remoto e um checklist para fechar a porta hoje.
• Seguro Cibernético para Empresas: o Que as Seguradoras Exigem Antes de Aprovar a Apólice A Resolução BCB 498 já exige que os provedores de tecnologia do sistema financeiro tenham seguro que cubra incidentes cibernéticos — e seguradoras estão recusando sinistros de empresas sem controles mínimos comprovados. Veja o que entra na checklist de subscrição e como o pentest reduz o prêmio.
• CTEM: o que é a Gestão Contínua de Exposição a Ameaças e por que virou prioridade em 2026 A Gartner projeta que empresas com um programa de CTEM têm três vezes menos chance de sofrer uma violação até 2026. Entenda as 5 etapas do framework e por que o pentest anual isolado não é mais suficiente para sustentá-lo.
• LDL Labs: Só 7% das Escolas Bloqueiam E-mail Falsificado Instituições de ensino têm metade da proteção contra e-mail falsificado dos demais setores: só 7,0% bloqueiam mensagens falsas em seu nome.
• LDL Labs: Onde as Empresas Hospedam o E-mail e Quem Bloqueia Golpes Cruzamos o provedor de e-mail de 7,5 mil empresas com a configuração de SPF e DMARC: o serviço escolhido não garante proteção contra falsificação.
• LDL Labs: Ransomware Expôs 129 Organizações Brasileiras em 2026 Levantamento mensal do LDL Labs: 129 vítimas brasileiras expostas por grupos de ransomware de janeiro a outubro de 2026. Outubro teve 20, o maior número da série.
• LDL Labs: Só 13% das Empresas Protegem o Domínio Contra Sequestro Medimos três proteções públicas de domínio em 7,6 mil empresas: DNSSEC em 13,2%, CAA em 2,0% e MTA-STS em 0,2%.
• LDL Labs: 1 em Cada 7 Domínios do Cadastro de CNPJ Não Existe Mais 14,5% dos domínios de e-mail corporativo cadastrados na Receita não existem mais, e 8 em cada 10 .br abandonados podem ser registrados por terceiros.
• LDL Labs: 86% das Empresas do Sul Não Bloqueiam E-mail Falsificado Analisamos o DNS de 7,5 mil empresas a partir dos dados abertos de CNPJ: 86% das empresas do Sul não bloqueiam e-mails falsificados em seu nome.
• Regulamento de Segurança Cibernética da Anatel: guia para provedores O que a Resolução Anatel 740/2020, alterada pela 767/2024, exige dos provedores: senha padrão, aviso de incidente e avaliação independente de vulnerabilidades.
• LGPD para clínicas: como proteger prontuário, telemedicina e portal Dado de saúde é dado pessoal sensível. Entenda o que a LGPD e a ANPD exigem da clínica e como proteger prontuário, telemedicina e portal do paciente.
• REN ANEEL 964/2021 e rotina do ONS: governança cibernética no setor Modelo de maturidade anual, simulações de resiliência, zonas de rede e MFA: o que a ANEEL e o ONS pedem e como o agente do setor elétrico deve se organizar.
• Segurança na Black Friday: o que revisar no checkout e nas promoções O que o PCI DSS 4.0.1 e a LGPD exigem da loja virtual e o que revisar em checkout, cupons, área do cliente e integrações antes da Black Friday.
• Do e-mail ao chão de fábrica: como testar a segmentação entre TI e OT O caminho de um ataque do e-mail do escritório até a rede de controle, o papel da IEC 62443 e como testar a segmentação entre TI e OT sem parar a produção.
• Circular SUSEP 638/2021: gestão de vulnerabilidades e relatório anual O que os arts. 5º, 8º e 9º da Circular SUSEP 638/2021 pedem e como organizar a gestão de vulnerabilidades para chegar ao relatório anual sem improviso.
• Dados de alunos menores de idade: o que a LGPD exige das escolas LGPD art. 14, 46 e 48 aplicados a escolas: consentimento dos pais, medidas de segurança, comunicação de incidente e as falhas mais comuns em sistemas acadêmicos.
• Golpe do falso advogado: como proteger os dados do escritório Como informações do escritório alimentam o golpe do falso advogado, o que o Estatuto e o Código de Ética dizem sobre sigilo e o que testar no e-mail e nos sistemas.
• Adequação à LGPD para Empresas: Prazo, Custo e Passo a Passo Adequar-se à LGPD é um projeto, não um documento. Veja as 4 etapas, o que realmente define prazo e orçamento, e os erros mais caros de quem começa pelo lugar errado.
• Insider Threat: a Ameaça Que Já Está Dentro da Sua Empresa Um funcionário vendeu suas credenciais por R$ 15 mil e ajudou a desviar R$ 800 milhões de bancos brasileiros. Veja como identificar e prevenir a ameaça que já está dentro da sua rede.
• SIEM e XDR Não Bastam: Como Testar se Seu Monitoramento Detecta um Ataque Real SIEM e XDR prometem detectar ataques em tempo real — mas a maioria das empresas nunca testou se isso realmente acontece. Veja como um Red Team simula um ataque de verdade para medir se o monitoramento funciona ou só gera relatórios bonitos.
• Deepfake de Voz: Como Golpistas Estão Clonando CEOs para Roubar Empresas em 2026 Um áudio de poucos segundos já basta para clonar a voz de um executivo e enganar o financeiro da empresa. Golpes com deepfake cresceram 400% no Brasil em 2026 — veja casos reais e como blindar seus processos de aprovação.
• Proteção Contra DDoS: Como Blindar Sua Empresa em 2026 Em junho de 2026, o Brasil registrou o maior volume de ataques DDoS do ano — alta de 121% em um mês, com picos de até 2,40 Tbps. Veja como esses ataques funcionam, por que qualquer empresa com site ou API é alvo, e quais camadas de proteção realmente reduzem o risco.
• Resolução BCB 538/2025: Pentest Vira Obrigação Anual para Instituições Financeiras O Banco Central endureceu as regras: desde março de 2026, bancos, fintechs e corretoras precisam de teste de intrusão anual e independente. Veja o que muda, quem é afetado e os erros mais comuns na hora de se adequar.
• PCI DSS 4.0.1: O Que Mudou no Pentest de Quem Processa Cartão Desde 31 de março de 2025, 51 requisitos do PCI DSS deixaram de ser opcionais — e o que conta como pentest válido mudou. Veja o que a v4.0.1 exige de escopo, teste interno, validação de segmentação e monitoramento de scripts na página de pagamento.
• Pentest de Active Directory: Como um Usuário Comum Vira Admin do Domínio Na maioria dos ataques, o invasor não usa um zero-day: ele entra com uma credencial roubada e vira administrador do domínio em horas. Mostramos as quatro falhas de Active Directory que mais encontramos em pentests e as cinco correções que realmente barram esse caminho.
• 7 Pontos Para Verificar Antes de Pedir um Orçamento de Pentest Checklist prático para receber uma proposta de pentest precisa e rápida: escopo, prazo, compliance e orçamento.
• Pentest para Startups: Por Que Investidores e Clientes Perguntam Sobre Isso Segurança virou critério de investimento e de venda. Veja quando fazer o primeiro pentest da sua startup e como usá-lo a seu favor.
• Pentest Emergencial: O Que Fazer Depois de um Ataque Sofreu um ataque? Veja o que fazer nas primeiras horas e por que um pentest emergencial é essencial para conter o dano.
• Pentest para Pequenas e Médias Empresas: Vale a Pena o Investimento? Pentest não é só para grandes empresas. Veja preços, ROI e como pedir uma cotação de pentest sob medida para pequenas e médias empresas em 2026.
• SOC 2 no Brasil: Guia de Certificação e Pentest para Empresas que Vendem para Enterprise O que é o relatório SOC 2, quando sua empresa precisa dele e como o pentest se encaixa no calendário da auditoria para evitar atraso na certificação.
• Supply Chain Attacks: O Elo Fraco da Sua Cadeia de Software Ataques à cadeia de suprimentos de software custam em média R$ 14,2 milhões por incidente no Brasil. Entenda como funcionam e o que sua empresa pode fazer para não ser o próximo alvo.
• Pentest em Aplicações de IA e LLMs: Os Riscos que o Teste Tradicional Não Cobre Prompt injection, vazamento de dados via prompt e shadow AI: os ataques que miram o seu chatbot ou agente de IA e que nenhum pentest de API tradicional testa.
• PTaaS: O Que É Pentest as a Service e Por Que Está Substituindo o Modelo Tradicional em 2026 Um pentest anual fotografa a segurança da empresa em um único dia. Para produtos com deploy semanal, isso já não é suficiente — conheça o PTaaS e quando ele faz sentido.
• ISO 27001: Guia Completo Para Certificar Sua Empresa Entenda a ISO 27001, a norma internacional de segurança da informação, sua estrutura, controles e o passo a passo para certificar sua empresa.
• Zero Trust Security: A Nova Abordagem de Segurança para Empresas Entenda o modelo Zero Trust, seus pilares fundamentais e como implementar essa nova abordagem de segurança que elimina a confiança implícita na rede corporativa.
• Ransomware: O Que É, Como Funciona e Como Proteger Sua Empresa Descubra o que é ransomware, como funciona esse ataque cibernético e as melhores estratégias para proteger sua empresa de sequestro de dados e extorsão digital.
• Engenharia Social: Como Atacantes Enganam Funcionários e Como Treinar Sua Equipe Firewall e antivírus não protegem contra engenharia social. A técnica explora o elemento humano — e uma empresa sem treinamento está vulnerável independente de quanto investiu em tecnologia.
• Pentest em APIs: Por Que Seus Endpoints Estão em Risco APIs são a nova fronteira dos ataques. Enquanto o frontend tem proteções visíveis, endpoints de API costumam ser mal autenticados, sem rate limiting e com dados excessivamente expostos.
• SPF, DKIM e DMARC: Como Proteger Seu Domínio de Phishing SPF, DKIM e DMARC são três registros DNS que impedem criminosos de enviar e-mails falsos usando seu domínio. Veja como configurar cada um e por que é urgente fazer isso.
• Diagnóstico de Segurança Gratuito: Como Usar a Ferramenta da LDL Security A LDL Security oferece um diagnóstico gratuito que analisa mais de 30 pontos de segurança do seu domínio em minutos. Veja o que é verificado e como interpretar os resultados.
• Certificado de Pentest LDL Security: O Que É e Por Que Seus Clientes Se Importam Após um pentest, a LDL emite um certificado que comprova que seu sistema foi testado por especialistas. Entenda o que está no documento e como usar isso como diferencial competitivo.
• Red Team vs Pentest: Qual a Diferença e Quando Contratar Cada Um Red Team e Pentest são abordagens diferentes com objetivos diferentes. Entenda quando cada um faz sentido e qual oferece mais valor para seu nível de maturidade.
• Como Saber Se Meu Site Foi Hackeado: 10 Sinais de Alerta Seu site está estranho? Veja os 10 sinais de que ele pode ter sido hackeado e saiba o que fazer imediatamente para conter o dano.
• WordPress Seguro: As Vulnerabilidades Mais Exploradas e Como Corrigir WordPress é o CMS mais atacado do mundo. Veja as principais vulnerabilidades exploradas em sites WP e como proteger o seu agora.
• Como Escolher uma Empresa de Pentest: 7 Critérios Essenciais Saiba quais certificações exigir, como avaliar a qualidade do relatório e os 7 critérios que separam um pentest profissional de um scanner automatizado.
• Vazamento de Dados: Como Saber Se Sua Empresa Foi Comprometida Empresas levam 204 dias para descobrir um vazamento. Aprenda os sinais de comprometimento, ferramentas para monitorar exposição e como agir rápido.
• Golpes via Microsoft Teams: falso Help Desk ameaça empresas Cibercriminosos usam o Microsoft Teams para se passar por suporte de TI e instalar malware. Veja como o ataque funciona e como proteger sua empresa.
• Seu antivírus pode estar vulnerável Antivírus tradicionais detectam menos de 45% dos malwares modernos. Ataques fileless e living-off-the-land exigem EDR com detecção comportamental.
• Medusa Ransomware acelera ataques: invasão e criptografia em menos de 24 horas O grupo Medusa Ransomware compromete e criptografa redes inteiras em menos de 24 horas. Entenda a anatomia do ataque e como fechar as portas antes.
• SQL Injection: O Que É, Como Funciona e Como Prevenir em 2026 SQL Injection ainda afeta 30% das aplicações web. Aprenda como funciona o ataque, seus 3 tipos e como prevenir com prepared statements e boas práticas.
• Segurança em Nuvem: Principais Riscos AWS e Azure Para Empresas 82% dos incidentes em cloud foram causados por misconfiguração do cliente. Conheça os 8 principais riscos e como construir uma arquitetura cloud segura.
• OWASP Top 10:2025: As Principais Vulnerabilidades Web e Como Corrigir A OWASP publicou a edição 2025 e a lista mudou de verdade: supply chain entrou direto em A03, misconfiguration subiu para A02 e o SSRF deixou de ser categoria própria. Veja os 10 itens atuais e a correção de cada um.
• Resposta a Incidentes: O Que Fazer nas Primeiras Horas Após um Ataque Empresas com plano de IR economizam US$2,66 mi por incidente. Guia hora a hora do que fazer após um ataque cibernético, com obrigações legais da LGPD.
• BlackBox, WhiteBox e GreyBox: Qual Tipo de Pentest Sua Empresa Precisa? Entenda as diferenças entre os três tipos de pentest, quando usar cada abordagem e qual oferece o melhor custo-benefício para sua empresa em 2026.
• Threat Intelligence: Como Monitorar Sua Empresa na Dark Web Organizações com CTI detectam ataques 72 dias mais rápido. Entenda o que é Threat Intelligence, como monitorar a dark web e agir antes dos invasores.
• Pentest Mobile: Por Que Seu App iOS e Android Precisa Ser Testado 71% das empresas com apps móveis sofreram incidentes em 2025. Conheça o OWASP Mobile Top 10 e como é feito um pentest profissional em aplicativos.
• Pentest de Infraestrutura: Como Proteger Servidores e Redes Corporativas Ataques à infraestrutura representaram 43% dos incidentes no Brasil em 2025. Veja o que é testado em servidores, Active Directory, VPNs e redes internas.
• Melhores Empresas de Pentest e Cibersegurança no Brasil em 2026 12 empresas brasileiras de pentest comparadas por sede, foco e perfil de cliente, com critérios verificáveis e a nossa escolha nº 1.
• Quanto Custa um Pentest? Guia 2026 Pentest custa entre R$8.000 e R$120.000 no Brasil. Entenda os fatores de preço, o que deve estar incluído e como justificar o investimento internamente.
• LGPD e Segurança da Informação: O Que Sua Empresa Precisa Fazer Para Evitar Multas Apenas 34% das empresas brasileiras cumprem a LGPD. Conheça as obrigações técnicas, sanções de até R$50 milhões e como se proteger com segurança.
• Phishing em Empresas: Como Identificar e Evitar Golpes por E-mail em 2026 Phishing causa 90% dos ataques corporativos. Com IA gerando e-mails perfeitos em português, saiba identificar tentativas e proteger sua empresa em 2026.
• Pentest Web: O Que É e Por Que Seu Site Está em Risco em 2026 Mais de 30.000 sites são comprometidos diariamente. Entenda o que é pentest web, o que é testado com base no OWASP e por que sua aplicação precisa de um.
• Backup e Recuperação de Desastres: Estratégias para Empresas Aprenda como estruturar uma estratégia sólida de backup e recuperação de desastres (DR) para proteger os dados da sua empresa contra ransomware, falhas e desastres. Inclui RPO, RTO e regra 3-2-1.
• Gestão de Identidade e Acesso (IAM): Protegendo Recursos Corporativos Entenda como a Gestão de Identidade e Acesso (IAM) protege recursos corporativos, com MFA, menor privilégio, PAM e SSO. Guia completo para implementar IAM na sua empresa.
• Análise de Vulnerabilidades: Como Identificar e Corrigir Riscos Aprenda como funciona a análise de vulnerabilidades, metodologias, ferramentas e como priorizar a remediação de riscos para proteger sua empresa contra ataques cibernéticos.