Segurança ofensiva · Europa
Encontramo-la antes de quem não devia. A Hivexia faz testes de intrusão aos sistemas de que a sua empresa realmente depende e entrega conclusões sobre as quais a sua equipa consegue agir, não um relatório de scanner com outro logótipo por cima.
Evidência 02.1
GET /api/v1/faturas/40112 HTTP/1.1
Host: portal.exemplo.pt
Cookie: session=<conta A>
HTTP/1.1 200 OK
{"id":40112,"cliente":"<conta B>",
"nif":"5*******","total":"1 480,00"}Remediação. Autorizar cada registo no servidor contra o dono da sessão. Um identificador no caminho é um pedido, não uma permissão.
O que fazemos
Dezoito serviços e uma porta aberta, mas um só argumento. A maioria dos clientes começa na primeira coluna e avança para a direita à medida que os problemas óbvios ficam resolvidos.
01 · Identificação
Ataques controlados aos seus sistemas reais, com cada vulnerabilidade explorada e validada manualmente antes de chegar ao relatório.
02 · Correção
Encontrar o problema é a parte fácil. Acompanhamos a correção ao lado da sua equipa, na linguagem e com as ferramentas que a equipa já usa.
03 · Prevenção
Formação construída a partir do que encontrámos no seu próprio ambiente, para que os exemplos sejam sistemas que as pessoas na sala reconhecem.
04 · Outros
Parte do trabalho de que mais nos orgulhamos não cabia numa categoria quando chegou. Já testámos aplicações de televisão e avaliamos com regularidade alvos que nunca tínhamos visto.
Descreva o que tem. Ou lhe dizemos como seria o teste e quanto custaria, ou lhe dizemos com franqueza que não somos as pessoas certas para o fazer. Qualquer das duas respostas lhe é útil.
Projetos
A maior parte do trabalho é um teste de âmbito fixo e preço fixo. O que muda de cliente para cliente é aquilo que contamos para definir esse âmbito, e é essa contagem que as duas partes podem exigir mais tarde.
Âmbito definido por
URLs · aplicações · perfis de utilizador
Endereços IP públicos · serviços expostos
Servidores · domínios · segmentos de rede
Aplicações · plataformas · APIs
Utilizadores com conta de e-mail
Ativos sob acompanhamento · ciclos mensais
Vinte endereços IP, sessenta e cinco URLs, três perfis de utilizador. O que não se consegue contar não se consegue orçamentar com honestidade, e mais tarde não há forma de confirmar o que foi entregue.
Definido o âmbito, o preço fica definido. Se encontrarmos um ambiente bastante maior do que o descrito, falamos consigo antes de avançar, não depois.
A validação das correções está incluída no preço original. Uma vulnerabilidade que já corrigiu não lhe deve custar outra vez só para provar que está corrigida.
O que recebe
Todos os guias de compra dizem ao cliente para pedir um relatório de exemplo antes de assinar, e a maioria dos fornecedores não consegue mostrar nenhum. Estas são páginas reais, com o nome do cliente, os domínios e a referência anonimizados.
Cada vulnerabilidade tem um identificador permanente no formato HVX-20XX-000-03, para poder ser referenciada sem ambiguidade em retestes, auditorias e comunicações com terceiros. Os relatórios são entregues em português ou inglês. As páginas acima são de um projeto de 2025 classificado em CVSS v3.1; os projetos atuais são classificados em v4.0.
A severidade é calculada, não é opinião
Certificações
A nossa equipa trabalhou em aplicações web, infraestrutura de rede e tecnologia operacional, incluindo ambientes ICS onde poucos fornecedores têm competência validada. Sabe quem vai conduzir o seu projeto antes de ele começar.
Uma primeira conversa demora cerca de trinta minutos. Traga os sistemas que o preocupam e dizemos-lhe com honestidade se um teste é o passo certo a seguir.