Santa Cruz do Sul e Venâncio Aires concentram a indústria do tabaco do Rio Grande do Sul, estado que tinha 46% dos empregos do setor no país em 2025, e foram o segundo e o quarto municípios gaúchos que mais exportaram em 2025. Atendemos as duas cidades e o Vale do Rio Pardo a partir da nossa sede em Porto Alegre.
Santa Cruz do Sul tem 133,2 mil habitantes (Censo 2022) e teve PIB de R$ 13,4 bilhões em 2023, o sétimo do estado; Venâncio Aires, com 68,8 mil, teve R$ 4,7 bilhões, e a indústria somava 35,2% do valor adicionado do município em 2021 (IBGE). As duas cidades são o centro da indústria do tabaco. O RS é o maior produtor de fumo em folha do Brasil e tinha 46% dos empregos da fabricação de produtos do fumo no país em 2025; Santa Cruz do Sul e Venâncio Aires somam mais da metade dos estabelecimentos gaúchos do setor, e 64% dos empregos estão em Santa Cruz e 25% em Venâncio (Atlas Socioeconômico do RS, com dados da RAIS). O fumo vem principalmente da pequena propriedade familiar, e em boa parte por integração: no Censo Agropecuário de 2017, 2.259 dos 2.464 estabelecimentos que produziam fumo em Venâncio Aires, e 1.135 dos 1.695 em Santa Cruz do Sul, recebiam orientação técnica de empresas integradoras (IBGE). Na outra ponta está o embarque: em 2025, Santa Cruz do Sul exportou US$ 1,87 bilhão para 104 destinos, e Venâncio Aires, US$ 1,21 bilhão para 84, com o tabaco em 96% e 98% desse valor (ComexStat, pelo município da empresa exportadora). Santa Cruz tem ainda a Universidade de Santa Cruz do Sul (Unisc) e o Tecnounisc, o parque científico e tecnológico regional da universidade. Para um golpista, são duas bases valiosas: o cadastro e o pagamento de milhares de produtores, e os documentos e pagamentos de cada embarque.
O que você recebe
- Pentest de portais e aplicativos do produtor: cadastro, contrato, relatório de cada ciclo (RIPI), preços e pagamentos
- Teste de controle de acesso entre perfis: produtor, técnico de campo, comprador e administrador
- Pentest de APIs e integrações com bancos, despachantes, transportadoras e clientes no exterior
- Verificação de e-mail e domínio contra golpes em nome da empresa para produtores, importadores e fornecedores
- Teste de segmentação entre escritório e usina de beneficiamento, incluindo o acesso remoto de fornecedores
- Relatório com impacto de LGPD, plano de ação e reteste
O que cobrimos
Produtor integrado
Cadastro, contrato, produção, insumos adiantados, preço e pagamento de cada produtor.
Campo
Aplicativos usados nas visitas às propriedades e a sincronização com o sistema central.
Exportação e logística
Documentos de embarque, portais de cliente e e-mail com importadores, despachantes e transportadoras.
Usina e rede
Segmentação entre escritório e beneficiamento, acesso remoto e backup.
Indicado para
- Indústrias de beneficiamento e exportadoras de tabaco
- Empresas com sistemas de produtor integrado, no tabaco ou em outras cadeias
- Transportadoras, operadores logísticos e despachantes que atendem a exportação
- Startups e empresas do Tecnounisc
Como conduzimos
Mapa do dado do produtor
Do cadastro na propriedade ao pagamento, por sistema e por integração.
Teste das aplicações
Portais, aplicativos e APIs testados remotamente, com uma conta de cada perfil.
Teste do e-mail e do pagamento
Domínio, DMARC e o processo de troca de conta bancária.
Rede e usina
Perímetro e rede interna por acesso combinado ou no local, fora do período de maior recebimento.
Relatório e reteste
Achados com impacto de LGPD, correções e confirmação.
Perguntas Frequentes
Vocês atendem presencialmente em Santa Cruz do Sul e Venâncio Aires?
Quando o escopo pede, sim, como em teste de Wi-Fi, de rede interna sem acesso remoto ou da rede de uma usina. A LDL tem uma única sede, na Rua Monsenhor Veras, 660, em Porto Alegre, e atende Santa Cruz do Sul, Venâncio Aires e o Vale do Rio Pardo a partir dela. Portais, aplicativos e perímetro são testados remotamente.
O pentest pode ser feito remoto?
Em boa parte, sim: portal do produtor, aplicativos, APIs, e-mail e perímetro são testados pela internet, e a rede interna pode ser testada por VPN ou por uma máquina preparada dentro da rede. Wi-Fi, usina e acesso físico exigem presença, em data combinada para não coincidir com o período de maior recebimento de fumo.
Os dados dos produtores integrados estão protegidos por lei?
Por duas leis. Quando o produtor é pessoa física, como na agricultura familiar, cadastro, CPF, área, produção, insumos adiantados e conta para pagamento são dados pessoais, e a LGPD exige medidas de segurança aptas a protegê-los (art. 46). Quando o contrato é de integração, nos termos da Lei 13.288/2016, informação sobre a produção do integrado só pode ser passada a terceiros com autorização escrita dele (art. 7º, § 3º). A mesma lei equipara ao integrador o exportador que firma contrato de integração com produtores (art. 2º, § 1º).
O que o teste verifica no portal do produtor?
Primeiro, se um produtor vê o que é de outro. Pela Lei 13.288/2016, o integrador elabora a cada ciclo produtivo um relatório, o RIPI, com os insumos fornecidos, as quantidades produzidas, os preços usados no cálculo e os valores pagos (art. 7º). Quando esse relatório, o contrato ou o extrato ficam num portal ou aplicativo, o teste faz o que faria alguém com a senha de um produtor: troca o número do cadastro na requisição e tenta abrir o de outra família. Também verifica a recuperação de senha e o que o perfil do técnico de campo consegue alterar.
Exportadora de tabaco precisa de pentest?
Nenhuma lei brasileira obriga. O risco que mais pesa numa exportadora é o do e-mail: alguém se passa pela empresa, por um importador, por um despachante ou por uma transportadora e pede pagamento em outra conta. A negociação e os documentos de cada embarque passam por e-mail, com clientes em dezenas de países. Quando um cliente pede evidência de segurança, o relatório com reteste é o documento que responde.
Golpista pode usar o nome da empresa para enganar o produtor?
Pode, e por isso o domínio entra no teste. Quem compra de muitos produtores e paga cada um pela entrega tem um nome que vale imitar, em mensagem que pede atualização de dados bancários ou cobra uma suposta pendência. O DMARC em quarentena ou rejeição faz o provedor barrar o e-mail falso com o endereço exato da empresa, e na região nem os órgãos públicos costumam usá-lo: na mesorregião Centro Oriental Rio-grandense, do IBGE, onde ficam Santa Cruz do Sul e Venâncio Aires, 25 das 53 prefeituras analisadas pela LDL Labs em novembro de 2026 nem publicam DMARC, e só 3 mandam recusar a mensagem falsa.