Eventos como a BSides são espaços fundamentais para a troca de conhecimento prático em Segurança da Informação. Com uma abordagem colaborativa e voltada à comunidade, a BSides reúne profissionais, pesquisadores e entusiastas para discutir tendências, desafios e aprendizados reais do cenário atual de cibersegurança.
Na edição realizada no Rio de Janeiro, a Clavis marcou presença contribuindo com uma palestra focada em um tema cada vez mais crítico para organizações de todos os setores: a segurança de aplicações web e APIs no Brasil.
A palestra: Access Granted – o estado das aplicações web no Brasil
Apresentada por um de nossos especialistas em segurança de aplicações, Eduardo Cardoso, com mais de 8 anos de experiência na área de Segurança da Informação, a palestra trouxe uma análise aprofundada sobre vulnerabilidades em aplicações modernas, com base em dados reais coletados pela Clavis.
O conteúdo teve como ponto de partida a evolução das principais categorias de falhas, com destaque para o OWASP Top 10 ao longo dos anos. A discussão mostrou como certas vulnerabilidades permanecem recorrentes, mas também como sua criticidade e contexto evoluíram, especialmente com o crescimento de APIs e arquiteturas distribuídas.
Panorama atual: o que os dados mostram
Um dos principais destaques da apresentação foi a consolidação de dados recentes sobre vulnerabilidades em aplicações web no Brasil. Entre os achados mais relevantes, observou-se que:
- Security Misconfiguration aparece como a vulnerabilidade mais frequente em aplicações web, representando cerca de 30% dos casos analisados;
- Broken Access Control e falhas de autenticação seguem como problemas críticos e recorrentes;
- Injection, embora ainda relevante, tem perdido espaço relativo para falhas relacionadas à lógica de acesso e configuração.
Quando o recorte considera apenas vulnerabilidades de alta severidade, o cenário se torna ainda mais preocupante:
- Broken Access Control lidera com folga, sendo responsável por mais de 30% dos casos críticos;
- Falhas de autenticação continuam entre as principais portas de entrada para exploração.
Além disso, a análise também trouxe um olhar específico para APIs — um vetor cada vez mais explorado — onde problemas como Broken Function Level Authorization, Broken Object Level Authorization e consumo descontrolado de recursos aparecem com alta frequência e impacto.
Brasil vs. cenário global: estamos alinhados?
Outro ponto interessante abordado foi o comparativo entre o cenário brasileiro e dados globais.
A análise mostra que o Brasil segue tendências semelhantes ao restante do mundo, com Broken Access Control ocupando a primeira posição tanto local quanto globalmente. No entanto, algumas diferenças chamam atenção:
- Falhas de autenticação têm maior relevância no Brasil;
- Problemas de configuração e design inseguro continuam entre os principais riscos.
Esse alinhamento indica que, embora estejamos inseridos em um contexto global de ameaças, os desafios locais ainda passam por maturidade de processos, cultura de desenvolvimento seguro e governança.
Indo além dos números: onde as aplicações realmente falham
A palestra também trouxe exemplos práticos que ajudam a traduzir esses dados em cenários reais.
Um dos casos apresentados mostrou uma API com centenas de endpoints, onde apenas parte deles possuía controle de acesso adequado. Como resultado, endpoints expostos permitiam acesso a dados sensíveis sem autenticação — uma falha diretamente ligada à ausência de padronização entre times de desenvolvimento.
Outros exemplos incluíram:
- Manipulação de identificadores (IDs) pelo usuário para acessar dados de terceiros;
- Falta de validação em atualizações de perfil, permitindo escalonamento de privilégios;
- Usuários com baixo privilégio executando ações administrativas.
Esses cenários reforçam que muitas vulnerabilidades não estão apenas na tecnologia, mas na forma como sistemas são projetados e desenvolvidos.
O que fazer com isso? Caminhos para evoluir em AppSec
A apresentação também trouxe direcionamentos práticos para organizações que desejam evoluir sua maturidade em segurança de aplicações. Entre as principais recomendações:
1. Formalizar regras de controle de acesso
Definir claramente papéis, permissões e fluxos de autorização é essencial para evitar inconsistências entre sistemas.
2. Adotar o princípio de mediação completa
Toda requisição deve ser validada, sem exceções, garantindo que não existam caminhos alternativos de acesso indevido.
3. Utilizar CWEs como base de análise
O uso de frameworks como o Common Weakness Enumeration permite mapear falhas de forma estruturada ao longo da arquitetura.
4. Testar exaustivamente os controles de acesso
Testes manuais e automatizados devem focar especialmente em pontos críticos como autenticação, autorização e segregação de dados.
Conclusão
A participação da Clavis no BSides Rio reforça um ponto importante: segurança de aplicações não é mais uma preocupação pontual, é um pilar estratégico para qualquer organização digital.
Os dados apresentados mostram que, embora as vulnerabilidades evoluam, muitos dos problemas continuam ligados a fundamentos básicos: controle de acesso, autenticação e boas práticas de desenvolvimento.
O desafio, portanto, não está apenas em conhecer as falhas, mas em estruturar processos, cultura e tecnologia para evitá-las de forma consistente.
Seguimos contribuindo com a comunidade e com o mercado, compartilhando conhecimento e ajudando organizações a construir aplicações mais seguras desde a origem.
