Prefeituras, câmaras e autarquias guardam dados de moradores em cada secretaria: cadastro do IPTU, atendimento de saúde, matrícula escolar, assistência social e folha dos servidores. E são elas que mandam cobrança, o que torna o nome delas útil para quem aplica golpe. No levantamento da LDL Labs, com coleta em 13/11/2026, 74,4% das prefeituras do RS (360 de 484) não bloqueiam e-mail falsificado com o endereço oficial.
Sendo exato sobre as normas: a LGPD vale para União, estados, Distrito Federal e municípios (art. 1º, parágrafo único), e o capítulo IV trata do poder público. Ele alcança os órgãos e entidades listados na Lei de Acesso à Informação: administração direta do Executivo e do Legislativo, inclusive câmaras e tribunais de contas, Judiciário, Ministério Público, autarquias, fundações e empresas controladas pelo poder público (LGPD, art. 23; LAI, art. 1º, parágrafo único). O órgão precisa indicar encarregado (art. 23, III) e adotar medidas de segurança aptas a proteger os dados (art. 46). A ANPD não multa órgão público, mas pode advertir, publicizar a infração, bloquear ou eliminar os dados e suspender ou proibir o tratamento (art. 52, § 3º); em 2023, advertiu dois órgãos estaduais ligados à saúde por não manterem sistemas seguros e por falhas ao comunicar incidentes. A LAI, por sua vez, manda proteger a informação garantindo disponibilidade, autenticidade e integridade (art. 6º, II). O que é só federal: a Política Nacional de Segurança da Informação (Decreto 9.637/2018), as instruções normativas do GSI/PR e o Programa de Privacidade e Segurança da Informação (PPSI) valem para a administração pública federal. Para município e estado, servem de referência, e o framework do PPSI tem um controle só de testes de intrusão (controle 18), com pentest externo periódico e correção dos achados. Nenhuma dessas normas obriga o município a contratar pentest; o teste é a evidência de que as medidas da LGPD e da LAI funcionam.
O que você recebe
- Pentest externo do portal, dos serviços online ao cidadão e dos sistemas expostos à internet
- Verificação do domínio oficial: SPF, DKIM, DMARC, subdomínios e endereços antigos que ainda aparecem em cadastro
- Teste interno da rede da prefeitura e das secretarias, partindo de uma estação comum
- Avaliação do acesso de fornecedores de sistemas, hospedagem, e-mail e suporte remoto
- Relatório técnico de acesso restrito, sumário para o gestor e plano de ação priorizado
- Reteste com evidência de correção, para juntar ao processo
O que cobrimos
Serviços ao cidadão
Portal, IPTU e ISS online, nota fiscal de serviço, agendamentos, ouvidoria e portal da transparência.
Domínio e e-mail oficial
DMARC, SPF, subdomínios e domínios antigos que ainda constam em cadastro oficial.
Rede e secretarias
Saúde, educação, assistência social e administração, e a separação entre essas redes.
Fornecedores
Sistemas de gestão contratados, hospedagem, e-mail de terceiros e acesso remoto de suporte.
Indicado para
- Prefeituras de qualquer porte, inclusive as de até 10 mil habitantes
- Câmaras de vereadores e outros órgãos do Legislativo
- Autarquias, fundações, institutos de previdência e consórcios públicos
- Secretarias e órgãos estaduais que tratam dado de cidadão em larga escala
Como conduzimos
Escopo e autorização
Sistemas, janelas e limites combinados por escrito com o órgão e com os fornecedores antes do primeiro teste.
Teste externo
Portal, serviços online, sistemas expostos e domínio oficial, pela internet.
Teste interno
Partindo de uma estação de secretaria, verificamos até onde um invasor chega.
Relatório e plano de ação
Relatório técnico de acesso restrito e sumário em linguagem direta para o gestor.
Reteste
Confirmação das correções, com data e evidência.
Perguntas Frequentes
Prefeitura é obrigada a fazer pentest?
Não há lei que obrigue município, câmara ou autarquia a contratar pentest. A LGPD exige medidas de segurança aptas a proteger os dados pessoais (art. 46) e sistemas estruturados para atender aos requisitos de segurança (art. 49), e a LAI manda proteger a informação garantindo disponibilidade, autenticidade e integridade (art. 6º, II). O pentest mostra, com evidência, se essas medidas funcionam e o que corrigir primeiro.
A ANPD pode multar a prefeitura?
Não. Para órgãos e entidades públicas, a LGPD prevê advertência, publicização da infração, bloqueio e eliminação dos dados, suspensão do banco de dados ou da atividade e proibição do tratamento, mas não multa (art. 52, § 3º). A ANPD já usou esse caminho: em outubro de 2023, aplicou duas advertências ao IAMSPE, de São Paulo, e quatro à Secretaria de Saúde de Santa Catarina, entre outros motivos por não manterem sistemas seguros (art. 49) e por não comunicarem o incidente aos titulares de forma clara e no prazo (art. 48), e determinou medidas corretivas. Empresa pública ou sociedade de economia mista que atua em concorrência segue as regras das empresas privadas (art. 24).
O PPSI do governo federal vale para municípios?
Não. O PPSI vale para os órgãos e entidades da administração pública federal direta, autárquica e fundacional que têm unidades no SISP, o sistema de recursos de TI do Executivo federal, e a Política Nacional de Segurança da Informação (Decreto 9.637/2018) e as instruções normativas do GSI/PR também se limitam à esfera federal. A Política Nacional de Cibersegurança (Decreto 11.856/2023) prevê atuação coordenada com estados e municípios, mas não cria obrigação de teste. Mesmo assim, o framework do PPSI é público e serve de roteiro: o controle 18 trata de testes de intrusão, com programa de testes, pentest externo periódico e correção dos resultados no grupo intermediário de medidas (GI2), e validação das medidas e pentest interno no grupo avançado (GI3). O grupo básico, de higiene cibernética, não inclui pentest.
Como o órgão público contrata um pentest?
Pela Lei 14.133/2021, que vale para a administração direta, autárquica e fundacional de todos os entes, inclusive câmaras municipais em função administrativa (art. 1º). A regra é a licitação. Abaixo do limite do art. 75, II, para serviços, cabe dispensa por valor; esse limite é atualizado todo 1º de janeiro pelo IPCA-E e divulgado no PNCP (art. 182) e considera a soma do que a unidade gestora gasta no ano com objetos da mesma natureza (art. 75, § 1º). O limite dobra para consórcio público (art. 75, § 2º), e a dispensa deve, de preferência, ser precedida de aviso no site oficial por três dias úteis (art. 75, § 3º). Mesmo na contratação direta, o processo reúne formalização da demanda, estimativa de despesa, justificativa de preço e razão da escolha do contratado, entre outros documentos (art. 72). Municípios de até 20 mil habitantes têm seis anos, contados da publicação da lei em abril de 2021, para cumprir algumas regras, como a licitação eletrônica (art. 176). Empresa pública e sociedade de economia mista seguem a Lei 13.303/2016.
Por que o e-mail da prefeitura entra no teste?
Porque é por ele que chega o golpe com o nome do órgão, como o boleto falso de IPTU no começo do ano. No levantamento da LDL Labs, com coleta em 13/11/2026, 74,4% das prefeituras gaúchas (360 de 484) não instruíam os provedores a bloquear e-mail falsificado com o endereço oficial, 44,6% nem tinham DMARC e só 4,1% mandavam recusar a mensagem falsa. A correção é um registro no DNS e não exige trocar de sistema; o passo a passo está no guia de SPF, DKIM e DMARC.
O relatório do pentest fica público?
Os atos do processo licitatório são públicos, ressalvadas as informações cujo sigilo seja imprescindível à segurança da sociedade e do Estado, na forma da lei (Lei 14.133, art. 13). Como o relatório técnico descreve como explorar os sistemas, entregamos dois documentos: um sumário para o processo e para o gestor e o relatório técnico, de acesso restrito. A decisão sobre o acesso a ele cabe ao órgão, segundo a LAI e a regulamentação local (LAI, art. 45).