Em transportadora e operador logístico, o prejuízo costuma vir de dentro da rotina: boleto de frete adulterado, pedido para trocar a conta bancária de pagamento, rastreio que expõe o endereço do destinatário e API de embarcador que entrega dado de outro cliente.
Para transportadoras e operadores logísticos em geral, não há norma de segurança cibernética própria do setor. O que vale de forma direta é a LGPD: quem transporta ou armazena para um embarcador recebe nome, endereço, telefone e, muitas vezes, CPF de destinatários, em geral na posição de operador. A lei obriga todos que intervêm no tratamento a garantir a segurança da informação (art. 47) e torna o operador responsável solidário quando descumpre a lei ou as instruções do controlador (art. 42, § 1º, I). Na parte fiscal, o CT-e só tem validade com assinatura eletrônica qualificada, feita com certificado ICP-Brasil, e esse certificado no servidor de emissão é um ativo a proteger. O golpe que mais pesa é a fraude por e-mail corporativo: o atacante se passa pela transportadora, pelo cliente ou por um parceiro e pede pagamento em outra conta. Nos Estados Unidos, o IC3, do FBI, registrou US$ 2,77 bilhões em perdas com esse tipo de fraude em 2024. No Sul do Brasil, o levantamento da LDL Labs mostrou que 86% das empresas não bloqueiam e-mail falsificado em nome do próprio domínio. O teste cobre as duas frentes: a aplicação (TMS, WMS, portal, rastreio e APIs) e o caminho do golpe (domínio, e-mail e processo de troca de dados bancários).
O que você recebe
- Pentest do TMS, do WMS, do portal do cliente e do aplicativo do motorista
- Teste das APIs com embarcadores, marketplaces e plataformas de frete
- Verificação do rastreio: o que um código expõe e se dá para descobrir os de outros clientes
- Avaliação do domínio (SPF, DKIM e DMARC) e, se contratada, simulação do golpe de troca de dados bancários
- Teste da rede de armazéns e filiais, incluindo coletores, impressoras e acesso remoto
- Relatório com o impacto financeiro de cada achado e reteste
O que cobrimos
TMS, WMS e portais
Cotação, coleta, faturamento, comprovante de entrega e acesso de clientes.
APIs e integrações
Embarcadores, marketplaces, ERPs, gerenciadoras de risco e rastreadores.
Rastreamento e destinatário
Códigos sequenciais, links de rastreio e dados pessoais de quem recebe.
E-mail e pagamentos
Domínio falsificável, contas sem MFA e o processo de alterar dados bancários.
Indicado para
- Transportadoras com portal de cliente e emissão própria de CT-e
- Operadores logísticos e armazéns integrados a vários embarcadores
- Empresas de entrega que atendem marketplaces e lojas online
- Operações em que cliente ou parceiro já recebeu boleto ou conta bancária falsa
Como conduzimos
Mapa das integrações
Levantamos sistemas, APIs, parceiros e quem pode alterar dados de pagamento.
Teste de aplicação e API
TMS, WMS, portais, rastreio e integrações, com foco em acesso a dado de outro cliente.
Armazéns e filiais
Perímetro, acesso remoto e segmentação entre operação e escritório.
Caminho do golpe
Domínio, e-mail e processo de troca de dados bancários, do jeito que o golpista tentaria.
Relatório e reteste
Achados com impacto financeiro e confirmação das correções.
Perguntas Frequentes
Transportadora precisa fazer pentest por alguma norma?
Não há norma de segurança cibernética própria para transporte e armazenagem em geral. A LGPD vale por inteiro: quem recebe dados de destinatários de um embarcador precisa garantir a segurança da informação (art. 47) e pode responder solidariamente se descumprir a lei ou as instruções do cliente (art. 42, § 1º, I). O teste é a forma de mostrar ao embarcador que essas medidas funcionam.
Como funciona o golpe da troca de dados bancários?
O golpista manda um e-mail que parece vir da transportadora, do cliente ou de um parceiro, muitas vezes com dados reais de carga ou de fatura, e pede que o pagamento seja feito em outra conta, ou envia um boleto adulterado. O IC3, do FBI, chama isso de comprometimento de e-mail corporativo e registrou US$ 2,77 bilhões em perdas nos Estados Unidos em 2024.
O que o pentest faz contra esse golpe?
Verifica se o domínio da empresa pode ser falsificado (SPF, DKIM e DMARC), se as contas de e-mail têm autenticação forte, se o portal deixa trocar dados bancários sem confirmação e, se contratado, testa com a equipe financeira o processo de validar um pedido de troca.
A API do embarcador entra no teste?
Entra a integração do seu lado: como a sua API autentica o parceiro, o que ela devolve e se um cliente consegue ver a carga de outro. O sistema do embarcador só é testado com autorização dele, combinada antes.
O teste afeta a operação do armazém?
Não deve. Coletores, esteiras e sistemas de expedição são testados em janela combinada, e nada que possa parar a operação é executado sem aprovação.