O que a internet vê da sua empresa: a superfície de ataque explicada

7 min de leitura · DataRoad

A superfície de ataque externa da sua empresa é a soma de tudo o que qualquer pessoa consegue ver e tentar abrir a partir da internet, sem nunca entrar no seu escritório. A resposta curta à pergunta “o que a internet vê de nós?” é quase sempre: mais do que a administração julga. Um painel de gestão aberto, uma VPN por atualizar há um ano, um subdomínio antigo que ninguém desligou. Cada um é uma porta.

O que é, exatamente, a superfície de ataque

Pense no edifício da empresa. A porta principal tem fechadura e alarme. Mas há também a porta das traseiras e a garagem que um fornecedor usou há três anos. A superfície de ataque é o conjunto de todas as entradas, incluindo as esquecidas.

No mundo digital, essas entradas são serviços ligados à internet. Alguns são necessários — email, site, acesso remoto. Outros ficaram abertos por engano ou esquecimento.

As cinco entradas que encontramos com mais frequência

1. Painéis de gestão expostos

Routers de operador, firewalls, NAS (os discos de rede onde muitas empresas guardam ficheiros), câmaras de videovigilância e impressoras têm páginas de administração. Quando ficam acessíveis a partir da internet, qualquer pessoa pode tentar palavras-passe atrás de palavras-passe, ou explorar uma falha conhecida desse modelo.

2. VPN e firewall desatualizadas

A VPN é o túnel que deixa os colaboradores trabalhar a partir de casa. Está, por definição, virada para a internet. Por isso, quando um fabricante de firewalls publica uma correção de segurança, os atacantes estudam-na e começam a procurar equipamentos que ainda não a instalaram. A CISA, a agência de cibersegurança dos Estados Unidos, mantém um catálogo público de vulnerabilidades que já estão a ser exploradas na prática — o catálogo KEV — e equipamentos de acesso remoto aparecem lá com regularidade. Para as agências federais, a regra é corrigir cada falha nova do catálogo em duas semanas. É uma boa bitola para qualquer empresa. Explicamos o custo de adiar no artigo Atualizações informáticas: “depois faço” sai caro.

3. Acesso remoto direto ao ambiente de trabalho

Abrir o ambiente de trabalho remoto do Windows (RDP) diretamente para a internet, “só para o contabilista entrar ao fim de semana”, é das portas mais procuradas. Deve passar sempre por uma VPN ou por uma solução de acesso com verificação de identidade — veja porque a VPN, sozinha, já não chega.

4. Domínios e subdomínios esquecidos

loja.empresa.pt, teste.empresa.pt, a campanha de 2019. Cada subdomínio aponta para algum sítio. Se esse sítio foi desligado mas o registo ficou, um terceiro pode, em certos casos, ocupar o endereço e servir conteúdo com o nome da sua empresa. E um domínio que expira por esquecimento leva consigo o site e o email — tratámos esse risco em domínios e certificados a expirar.

5. Endereços de email expostos

Os emails da equipa aparecem no site, no LinkedIn e em fugas de dados de outros serviços. Não é possível escondê-los, mas é possível saber quais estão mais expostos e garantir que nenhuma conta depende só da palavra-passe. O fator humano pesa: segundo o CNCS, cerca de metade dos incidentes registados em 2025 explorou vulnerabilidades ligadas às pessoas, com o phishing como principal método.

Como medir: o que um diagnóstico externo verifica

Mede-se de fora, como faria um atacante — mas com autorização e relatório no fim.

Como fechar: o plano em quatro passos

1. Inventário. Lista de IPs públicos, domínios, subdomínios e equipamentos virados para a internet, com um responsável por cada linha. O que não tem dono é o que fica esquecido.
2. Fechar por omissão. Tudo o que não precisa de estar aberto fecha-se. Painéis de gestão só ficam acessíveis pela rede interna ou por VPN. Acesso remoto passa sempre por um canal com MFA (a confirmação no telemóvel, além da palavra-passe).
3. Atualizar o que fica. Firewall, VPN e routers com o software do fabricante em dia, e um prazo definido para correções críticas. Equipamentos que o fabricante deixou de suportar são substituídos — não há correção que chegue.
4. Vigiar sempre. A superfície muda sempre que alguém instala um equipamento ou contrata um serviço. A verificação externa deve repetir-se, no mínimo, todos os meses, com alertas quando aparece uma porta nova.

Na DataRoad, a firewall gerida, as atualizações e a monitorização alarmística fazem parte dos planos IT Unlimited. No plano Premium, a assistência no local também está incluída, o que conta quando é preciso trocar um equipamento antigo.

Um caso real: firewall e VPN na FreshDesign

A FreshDesign precisava de proteger a rede do escritório, dar acesso remoto seguro à equipa e não parar se a internet falhasse. A DataRoad instalou uma firewall de nova geração, com prevenção de intrusões e relatórios com alertas, criou uma VPN SSL para o acesso cifrado aos servidores internos e configurou duas ligações à internet com passagem automática para a segunda se a primeira cair. A manutenção ficou no contrato IT Unlimited: atualizações de firmware, afinação de políticas e estabilidade da VPN. Leia o caso completo em FreshDesign: firewall e acesso VPN.

A lição: acesso remoto por um único caminho controlado, num equipamento que alguém atualiza por contrato — não “quando houver tempo”.

Perguntas frequentes

Uma empresa pequena é mesmo alvo?

Sim. A maior parte dos ataques à superfície externa é automática: programas que percorrem a internet à procura de um modelo de equipamento com uma falha conhecida. O tamanho da empresa não entra na conta; a versão do software, sim.

Testar a nossa superfície de ataque pode estragar alguma coisa?

Uma verificação externa bem feita é discreta e combinada com antecedência. Não tenta entrar nos sistemas; identifica o que está visível e em que versão. Os testes mais intrusivos, quando fazem sentido, são agendados com a empresa.

Com que frequência devemos verificar?

Pelo menos uma vez por mês e sempre que muda alguma coisa: novo escritório, nova ligação à internet, novo serviço cloud ou troca de firewall. O ideal é uma vigilância contínua com alertas.

O fornecedor de internet não trata disto?

Normalmente não. O operador entrega a ligação e, por vezes, o router. O que fica aberto, que equipamentos estão ligados e se estão atualizados é responsabilidade da empresa ou de quem gere a sua informática.

Mapa da superfície de ataque externa em 5 dias úteis

Fazemos o levantamento do que a internet vê da sua empresa — IPs, portas, firewall, VPN, domínios, subdomínios e email — e entregamos um relatório com as prioridades ordenadas por risco. Para empresas com mais de 10 postos · contrato de assistência · suporte remoto, local e telefónico.

Fontes

• CISA — Known Exploited Vulnerabilities (KEV) Catalog
• CISA — Binding Operational Directive 22-01 (prazos de correção)
• Lusa / DNoticias — Dados do CNCS: 3.864 incidentes em 2025, mais 40%