Picus Security

Um relatório de pentest que apresenta poucos problemas pode dar uma falsa sensação de segurança. Após várias execuções de testes automatizados, as descobertas tendem a diminuir, levando a uma interpretação errônea de que a segurança está estável. No entanto, isso pode significar que as ferramentas de pentest atingiram seus limites de visibilidade. O artigo destaca que a validação de segurança deve ser vista em múltiplas camadas, não apenas na capacidade de um atacante explorar um caminho. Embora o pentest automatizado mostre que um caminho de ataque existe, ele não garante que as defesas, como SIEM e EDR, estejam funcionando adequadamente para detectar ou bloquear essas tentativas. A simulação de ataque e a validação de controles são abordagens complementares, mas frequentemente confundidas. A falta de validação de controles pode levar a uma priorização inadequada dos riscos, uma vez que as equipes podem não ter evidências completas sobre a eficácia das defesas. O webinar promovido pela The Hacker News e Picus Security busca esclarecer essas questões e ajudar as equipes a entenderem como classificar e priorizar as descobertas de segurança de forma mais eficaz.

Um novo relatório da Picus Security, intitulado The Red Report 2026, revela que malwares estão adotando técnicas sofisticadas para se infiltrar em sistemas e evitar detecções. A pesquisa analisou mais de 1,1 milhão de arquivos maliciosos e 15,5 milhões de ações hackers em 2025, destacando uma mudança de foco dos ransomwares para a extração silenciosa de dados. Os hackers estão utilizando serviços confiáveis, como OpenAI e AWS, para ocultar suas atividades, e em 25% dos ataques, senhas roubadas de navegadores são usadas para se passar por usuários legítimos. O cofundador da Picus, Süleyman Özarslan, descreve essa abordagem como a de um ‘parasita digital’, onde a permanência no sistema da vítima é mais lucrativa do que a destruição. Além disso, malwares como o LummaC2 estão utilizando trigonometria para detectar a movimentação do mouse, evitando ataques quando o usuário está em ambientes de segurança. O relatório também aponta que os malwares agora possuem em média 14 capacidades maliciosas e 12 técnicas anti-antivírus, exigindo que as empresas de segurança aprimorem suas defesas.

O relatório Blue Report 2025 da Picus Security revela que 46% das tentativas de quebra de senhas foram bem-sucedidas em ambientes testados, quase o dobro do ano anterior. Essa estatística alarmante destaca a fragilidade das políticas de gerenciamento de senhas nas organizações, que ainda utilizam senhas fracas e algoritmos de hash desatualizados. O relatório enfatiza que a falta de medidas adequadas, como a autenticação multifator (MFA) e a validação regular das defesas de credenciais, contribui para a vulnerabilidade das contas válidas, que são o vetor de ataque mais explorado, com uma taxa de sucesso de 98%. Além disso, os ataques baseados em credenciais permitem que invasores se movam lateralmente na rede, comprometendo sistemas críticos sem serem detectados. Para mitigar esses riscos, as organizações devem adotar políticas de senhas mais rigorosas, implementar MFA e realizar simulações de ataques para identificar vulnerabilidades. O relatório serve como um alerta para a necessidade urgente de focar na segurança de identidade e na validação de credenciais.