A superfície de ataque externa da sua empresa é a soma de tudo o que qualquer pessoa consegue ver e tentar abrir a partir da internet, sem nunca entrar no seu escritório. A resposta curta à pergunta “o que a internet vê de nós?” é quase sempre: mais do que a administração julga. Um painel de gestão aberto, uma VPN por atualizar há um ano, um subdomínio antigo que ninguém desligou. Cada um é uma porta.
O que é, exatamente, a superfície de ataque
Pense no edifício da empresa. A porta principal tem fechadura e alarme. Mas há também a porta das traseiras e a garagem que um fornecedor usou há três anos. A superfície de ataque é o conjunto de todas as entradas, incluindo as esquecidas.
No mundo digital, essas entradas são serviços ligados à internet. Alguns são necessários — email, site, acesso remoto. Outros ficaram abertos por engano ou esquecimento.
Em linguagem simples: uma “porta” é um canal numerado por onde um equipamento aceita ligações da internet. A porta do site está aberta de propósito. A porta do painel de gestão da firewall ou do servidor não devia estar aberta para o mundo — só para quem gere, e por um caminho protegido. Existem motores de pesquisa que fazem, todos os dias, a lista de todas as portas abertas do planeta. O atacante não precisa de procurar a sua empresa: basta-lhe filtrar a lista.
As cinco entradas que encontramos com mais frequência
1. Painéis de gestão expostos
Routers de operador, firewalls, NAS (os discos de rede onde muitas empresas guardam ficheiros), câmaras de videovigilância e impressoras têm páginas de administração. Quando ficam acessíveis a partir da internet, qualquer pessoa pode tentar palavras-passe atrás de palavras-passe, ou explorar uma falha conhecida desse modelo.
2. VPN e firewall desatualizadas
A VPN é o túnel que deixa os colaboradores trabalhar a partir de casa. Está, por definição, virada para a internet. Por isso, quando um fabricante de firewalls publica uma correção de segurança, os atacantes estudam-na e começam a procurar equipamentos que ainda não a instalaram. A CISA, a agência de cibersegurança dos Estados Unidos, mantém um catálogo público de vulnerabilidades que já estão a ser exploradas na prática — o catálogo KEV — e equipamentos de acesso remoto aparecem lá com regularidade. Para as agências federais, a regra é corrigir cada falha nova do catálogo em duas semanas. É uma boa bitola para qualquer empresa. Explicamos o custo de adiar no artigo Atualizações informáticas: “depois faço” sai caro.
3. Acesso remoto direto ao ambiente de trabalho
Abrir o ambiente de trabalho remoto do Windows (RDP) diretamente para a internet, “só para o contabilista entrar ao fim de semana”, é das portas mais procuradas. Deve passar sempre por uma VPN ou por uma solução de acesso com verificação de identidade — veja porque a VPN, sozinha, já não chega.
4. Domínios e subdomínios esquecidos
loja.empresa.pt, teste.empresa.pt, a campanha de 2019. Cada subdomínio aponta para algum sítio. Se esse sítio foi desligado mas o registo ficou, um terceiro pode, em certos casos, ocupar o endereço e servir conteúdo com o nome da sua empresa. E um domínio que expira por esquecimento leva consigo o site e o email — tratámos esse risco em domínios e certificados a expirar.
5. Endereços de email expostos
Os emails da equipa aparecem no site, no LinkedIn e em fugas de dados de outros serviços. Não é possível escondê-los, mas é possível saber quais estão mais expostos e garantir que nenhuma conta depende só da palavra-passe. O fator humano pesa: segundo o CNCS, cerca de metade dos incidentes registados em 2025 explorou vulnerabilidades ligadas às pessoas, com o phishing como principal método.
Como medir: o que um diagnóstico externo verifica
Mede-se de fora, como faria um atacante — mas com autorização e relatório no fim.
| O que se verifica | Como | Sinal de alarme |
|---|---|---|
| Endereços IP públicos da empresa | Contratos de internet de cada escritório e serviços cloud | Ninguém sabe dizer quantos são |
| Portas abertas em cada IP | Varrimento autorizado das portas | Painéis de gestão, RDP, bases de dados ou partilhas de ficheiros visíveis |
| Versão da firewall e da VPN | Identificação do equipamento e comparação com os avisos do fabricante e com o catálogo KEV | Versão com falha conhecida e explorada |
| Subdomínios | DNS e registos públicos de certificados | Endereços que apontam para serviços desligados |
| Domínios e certificados | Datas de expiração e titular do registo | Domínio em nome de um ex-colaborador ou de um antigo fornecedor |
| Configuração SPF, DKIM e DMARC; presença em fugas de dados | Domínio que qualquer pessoa consegue imitar |
Como fechar: o plano em quatro passos
- Inventário. Lista de IPs públicos, domínios, subdomínios e equipamentos virados para a internet, com um responsável por cada linha. O que não tem dono é o que fica esquecido.
- Fechar por omissão. Tudo o que não precisa de estar aberto fecha-se. Painéis de gestão só ficam acessíveis pela rede interna ou por VPN. Acesso remoto passa sempre por um canal com MFA (a confirmação no telemóvel, além da palavra-passe).
- Atualizar o que fica. Firewall, VPN e routers com o software do fabricante em dia, e um prazo definido para correções críticas. Equipamentos que o fabricante deixou de suportar são substituídos — não há correção que chegue.
- Vigiar sempre. A superfície muda sempre que alguém instala um equipamento ou contrata um serviço. A verificação externa deve repetir-se, no mínimo, todos os meses, com alertas quando aparece uma porta nova.
Na DataRoad, a firewall gerida, as atualizações e a monitorização alarmística fazem parte dos planos IT Unlimited. No plano Premium, a assistência no local também está incluída, o que conta quando é preciso trocar um equipamento antigo.
DataRoad IT Unlimited
Fale com a DataRoad. Avaliamos a sua operação e propomos o plano certo.
Um caso real: firewall e VPN na FreshDesign
A FreshDesign precisava de proteger a rede do escritório, dar acesso remoto seguro à equipa e não parar se a internet falhasse. A DataRoad instalou uma firewall de nova geração, com prevenção de intrusões e relatórios com alertas, criou uma VPN SSL para o acesso cifrado aos servidores internos e configurou duas ligações à internet com passagem automática para a segunda se a primeira cair. A manutenção ficou no contrato IT Unlimited: atualizações de firmware, afinação de políticas e estabilidade da VPN. Leia o caso completo em FreshDesign: firewall e acesso VPN.
A lição: acesso remoto por um único caminho controlado, num equipamento que alguém atualiza por contrato — não “quando houver tempo”.
Perguntas frequentes
Uma empresa pequena é mesmo alvo?
Sim. A maior parte dos ataques à superfície externa é automática: programas que percorrem a internet à procura de um modelo de equipamento com uma falha conhecida. O tamanho da empresa não entra na conta; a versão do software, sim.
Testar a nossa superfície de ataque pode estragar alguma coisa?
Uma verificação externa bem feita é discreta e combinada com antecedência. Não tenta entrar nos sistemas; identifica o que está visível e em que versão. Os testes mais intrusivos, quando fazem sentido, são agendados com a empresa.
Com que frequência devemos verificar?
Pelo menos uma vez por mês e sempre que muda alguma coisa: novo escritório, nova ligação à internet, novo serviço cloud ou troca de firewall. O ideal é uma vigilância contínua com alertas.
O fornecedor de internet não trata disto?
Normalmente não. O operador entrega a ligação e, por vezes, o router. O que fica aberto, que equipamentos estão ligados e se estão atualizados é responsabilidade da empresa ou de quem gere a sua informática.
Mapa da superfície de ataque externa em 5 dias úteis
Fazemos o levantamento do que a internet vê da sua empresa — IPs, portas, firewall, VPN, domínios, subdomínios e email — e entregamos um relatório com as prioridades ordenadas por risco. Para empresas com mais de 10 postos · contrato de assistência · suporte remoto, local e telefónico.
