Ninguém clicou em nada. Eles invadiram mesmo assim.

Por anos, o conselho de segurança para as equipes começou do mesmo jeito: não clique no link suspeito. É um bom conselho, e nós mesmos já o demos. Ele continua valendo, mas dados recentes de ameaças trazem uma atualização incômoda: o jeito mais comum de os invasores entrarem hoje não envolve ninguém clicando em nada.

No seu relatório de ameaças do primeiro trimestre de 2026, a empresa de segurança Rapid7 constatou que a exploração de vulnerabilidades ultrapassou a engenharia social como o vetor número um de ataque, presente em 38% das invasões. E, das vulnerabilidades sendo exploradas ativamente, mais da metade é o que o relatório chama de "zero-click, network-facing": falhas expostas que não exigem autenticação nem interação de usuário. Nenhuma senha para roubar, nenhum funcionário para enganar, nenhum erro para acontecer. O atacante se conecta direto a algo que você deixou exposto à internet.

"Zero-click" — o que isso significa para uma empresa

O termo pode lembrar as manchetes sobre spyware, em que uma mensagem maliciosa toma o celular em silêncio. Essa versão existe, mas é rara: ataques caros, dirigidos a pessoas específicas de alto valor. O zero-click que aparece nesses dados é diferente, mais mundano e muito mais relevante para você: um sistema exposto que deixa alguém entrar sozinho. Um painel administrativo acessível de qualquer navegador. Um banco de dados aberto em uma porta pública. Um equipamento de VPN ou um plugin com uma falha conhecida e sem correção aplicada.

Contra esses alvos, o invasor não precisa da sua equipe. As pessoas podem passar em todos os testes de phishing, verificar todos os pedidos de pagamento, fazer tudo certo — e a invasão acontece mesmo assim, por um sistema que ninguém lembra que está exposto.

Para uma loja online, essa superfície é maior do que parece: a plataforma da loja e os plugins, o painel administrativo, as integrações de pagamento e de frete, o banco de dados por trás deles, e as coisas esquecidas — como a cópia de testes da loja que alguém montou em 2024 e nunca tirou do ar.

Velocidade é a outra metade da história

O segundo tema do relatório é o ritmo. A exploração, observa a Rapid7, é "frequentemente precedida por grandes picos de discussão pública em fóruns, blogs e redes sociais". Em outras palavras: no momento em que uma falha vira conhecimento público, os atacantes correm para industrializá-la. Escrevemos recentemente sobre um agente de IA que executou uma invasão de ransomware em 31 segundos; esses dados mostram a mesma mudança vista do outro lado. Varrer a internet atrás de sistemas expostos e desatualizados é barato, automatizado e constante.

O relatório também nota que os grupos de ransomware estão migrando para a "extorsão pura": roubo rápido de dados em vez da criptografia lenta. Ataques mais rápidos, precisando de menos tempo, contra portas abertas.

Junte as duas constatações e a conclusão é direta: a janela entre "uma falha foi anunciada" e "alguém tenta contra você" continua encolhendo, e a tentativa não exige nada da sua equipe.

O que a gente faria a respeito

Como o time de segurança que você não precisa contratar, é aqui que a gente focaria, porque "zero-click" não significa "sem defesa". Significa que a defesa está inteira do seu lado da porta, antes de alguém chegar.

• Saiba o que você tem exposto. Não dá para corrigir o que você esqueceu que existe. O ponto de partida não é uma ferramenta nem uma política — é um inventário honesto de tudo na sua loja que está disponível na internet: plataforma, plugins, integrações, painéis administrativos, subdomínios antigos, ambientes de teste. É exatamente isso que um scan de exposição produz, e é a parte que a gente faz primeiro em todo trabalho.
• Atualize rápido o que está exposto à internet. Priorize por exposição, não por conveniência. Uma falha em algo que só a sua equipe alcança pode esperar a janela de manutenção. Uma falha em algo que a internet inteira alcança, não. Quando a sua plataforma ou um plugin lança uma atualização de segurança, ela ganha lugar na frente da fila.
• Encolha a superfície. Todo sistema exposto é uma porta que pode desenvolver uma falha. Painéis administrativos, bancos de dados e ferramentas de gestão que não precisam ser públicos não deveriam ser. A vulnerabilidade mais barata de defender é a do sistema que não está mais acessível.
• Deixe algo vigiando sua loja. Nessa velocidade, você não vai reagir mais rápido que um atacante automatizado. Mas o monitoramento contínuo percebe a exposição nova, a conexão estranha, a porta aberta que acabou de aparecer. Essa é a parte que a gente cuida enquanto você faz o seu negócio crescer.

A versão tranquila, como sempre

Nada disso aposenta o trabalho da camada humana. Phishing e fraude de pagamento não foram a lugar nenhum, e a engenharia social segue em um segundo lugar forte. O que os dados mudam é o equilíbrio: o seu risco agora começa pelo que você expõe, não pelo que a sua equipe clica. A boa notícia é que exposição é o risco mais controlável que você tem. Você não consegue impedir criminosos de varrer a internet. Mas consegue garantir que, quando chegarem na sua loja, toda porta que encontrarem estará fechada ou vigiada.

A conclusão da própria Rapid7 diz isso com clareza: avaliações periódicas e reações depois do fato já não bastam. As equipes de segurança precisam de visibilidade contínua da sua superfície de ataque, melhor priorização do que é de fato explorável e "um ritmo à altura dos atacantes modernos, antes que pequenas exposições virem incidentes de grande escala". Não descreveríamos melhor o nosso próprio trabalho.

Para o seu time de TI. A maioria zero-click do relatório significa que vulnerabilidades expostas à rede e sem autenticação merecem o topo da fila de correção. Acompanhe-as no catálogo KEV da CISA, trate equipamentos de borda e serviços de VPN como ativos de primeira classe, audite sistemas sem autenticação e subdomínios órfãos com frequência definida. A gente mantém a versão técnica deste manual para quem cuida desse lado da sua operação. Veja o que a gente checaria →

---

Não sabe o que a sua loja realmente expõe à internet? Encontrar cada sistema, painel e subdomínio esquecido que está acessível — antes que outra pessoa encontre — é o primeiro passo de todo trabalho da Confidanti. Fale com a gente.