Aquele subdomínio esquecido pode ser sua próxima brecha

Toda empresa tem mais endereços expostos na internet do que imagina. Não os do site principal — esses estão bem cuidados. São os outros: o homologacao.suaempresa.com.br de dois anos atrás, o painel-antigo, o vpn-teste, o portal de uma campanha que acabou. Esquecidos por dentro, visíveis por fora. É aí que o atacante entra.

O que é a sua “superfície de ataque”

É tudo o que está exposto na internet em nome da sua empresa: domínios, subdomínios, servidores, serviços, portas, versões de software. Mapear e vigiar isso continuamente tem até nome no mercado — EASM, External Attack Surface Management. Em português de gente: saber tudo o que tem a sua plaquinha lá fora, porque não dá para proteger o que você não sabe que existe.

Por que os subdomínios se acumulam

Ninguém cria um subdomínio inseguro de propósito. Eles apodrecem:

• ambientes de teste/homologação que sobem para um projeto e nunca são desligados;
• painéis administrativos publicados “só por enquanto” e esquecidos;
• portais de campanha que cumpriram o prazo e ficaram no ar;
• sistemas legados que ninguém quer mexer com medo de quebrar.

Cada um foi útil um dia. Hoje, muitos rodam software velho, sem atualização, sem segundo fator, com uma senha padrão que ninguém trocou.

Por que são perigosos

Um subdomínio esquecido concentra os piores fatores ao mesmo tempo:

• desatualizado — roda a versão de quando foi criado, com falhas já corrigidas no resto;
• sem dono — ninguém monitora, ninguém aplica patch, ninguém veria um acesso estranho;
• de confiança — carrega o seu nome, então engana funcionário e cliente;
• porta lateral — comprometido, vira ponto de partida para chegar ao que importa.

Um ambiente de teste com uma falha conhecida e uma cópia velha do banco de dados é o presente que o atacante procura.

Como isso é descoberto (por você e por ele)

A boa notícia: dá para achar antes do atacante, usando as mesmas fontes que ele usa:

• transparência de certificados (CT logs) — todo certificado emitido é registrado publicamente; é uma lista pública dos seus subdomínios;
• registros de DNS e bases passivas — histórico de tudo que já apontou para você;
• varredura de nomes prováveis — teste, dev, vpn, webmail, painel.

A vigilância cruza essas fontes de forma contínua e, para cada endereço achado, checa o que está rodando e se há falha conhecida — de preferência as que já aparecem em ataques reais (a lista CISA KEV).

O que fazer com o que aparece

1. Inventário. A primeira varredura quase sempre revela endereços que ninguém lembrava. Só ter a lista já é meio caminho.
2. Desligue o que não serve. O subdomínio mais seguro é o que não existe mais. Ambiente de teste, portal de campanha vencida, painel legado — tire do ar.
3. Corrija o que precisa ficar. Atualize, feche portas desnecessárias, exija segundo fator, troque senha padrão.
4. Vigie o que resta. A superfície muda toda semana. Um inventário de uma vez só envelhece; o valor está em revê-lo continuamente.

O ponto que fica

A sua próxima brecha provavelmente não vem de um ataque sofisticado ao seu sistema principal — vem de um endereço esquecido que você nem lembrava que estava no ar. Enxergar toda a superfície, e vê-la crescer e mudar continuamente, é o que fecha a porta antes de alguém entrar por ela.

Quer ver quantos endereços a sua empresa tem expostos hoje? Fale com a gente — a varredura começa em horas.