Regras de intervenção

A VillainStrike é um prestador de testes de segurança sob contrato. Tudo o que fazemos é executado com autorização prévia e por escrito da organização que detém ou controla legalmente os sistemas testados. Estas regras não são texto de marketing: são as condições em que aceitamos trabalho e fazem parte de todos os contratos que assinamos.

1. A autorização escrita vem primeiro

Nenhuma atividade de teste começa antes de existir um caderno de encargos assinado por um representante autorizado do cliente. Esse documento identifica os sistemas em âmbito, a janela de testes, as técnicas permitidas, os contactos de ambas as partes e o caminho de escalamento para qualquer situação de risco elevado. Uma autorização verbal, um email a dizer «pode avançar» ou uma nota de encomenda isolada não constituem autorização suficiente, e não agimos com base nelas.

Confirmamos também que quem assina tem competência para o fazer. Quando um sistema é operado por uma subsidiária, uma parceria ou um departamento que não o detém, pedimos confirmação a quem detém.

2. Testamos apenas sistemas do cliente

Cada alvo é listado explicitamente por nome de anfitrião, gama de IP, aplicação ou conta. Tudo o que não esteja nessa lista está fora de âmbito, incluindo sistemas que apareçam durante o reconhecimento. Se encontrarmos um ativo que parece pertencer ao cliente mas não está listado, comunicamos e perguntamos antes de lhe tocar — não presumimos autorização.

Não aceitamos trabalhos dirigidos a terceiros. Se o objetivo de um pedido for obter acesso a sistemas, contas ou dados pertencentes a alguém que não a organização requerente, recusamos.

3. Infraestrutura alojada e partilhada

Quando os sistemas correm em infraestrutura operada por outra entidade — um fornecedor de cloud, um alojamento gerido, uma plataforma SaaS — a autorização do cliente pode não ser suficiente. Verificamos a política de testes do fornecedor e, quando necessário, pedimos ao cliente que obtenha ou confirme essa permissão antes de a janela abrir.

4. O que excluímos por omissão

• Ataques de negação de serviço e testes de carga contra sistemas em produção.
• Ações destrutivas: apagar, cifrar ou corromper dados.
• Extração em massa de dados pessoais. Quando o acesso a dados comprova uma vulnerabilidade, recolhemos a prova mínima necessária — normalmente uma contagem de registos ou uma captura de ecrã anonimizada — e nada mais.
• Engenharia social dirigida a pessoas não incluídas num programa de sensibilização acordado e consentido.
• Intrusão física, salvo âmbito e autorização escrita separados do responsável pelas instalações.
• Persistência: não deixamos implantes, portas traseiras ou contas. Qualquer alteração feita durante os testes é documentada e revertida.

Qualquer um destes pontos pode entrar em âmbito, mas apenas de forma deliberada, por escrito e com os riscos discutidos previamente.

5. Tratamento do que encontramos

Os resultados pertencem ao cliente. Os relatórios são entregues por canais cifrados e apenas a destinatários identificados. As provas são guardadas cifradas durante o período de retenção previsto no contrato e depois destruídas. Não publicamos nada — nem nomes, nem logótipos, nem casos — sem acordo escrito específico, e os casos que publicamos são anonimizados ao ponto de a organização não ser identificável.

Se encontrarmos indícios de um compromisso já existente, ou uma vulnerabilidade que coloque terceiros em risco imediato, paramos e contactamos de imediato o responsável de escalamento em vez de prosseguir.

6. Interrupção

A autorização pode ser retirada a qualquer momento, por qualquer motivo, pelo contacto identificado do cliente. Os testes param imediatamente e confirmamos por escrito o que tinha sido executado até esse ponto. Também paramos por iniciativa própria se um alvo se comportar de forma inesperada, se suspeitarmos de ter saído do âmbito acordado ou se prosseguir puser em risco a disponibilidade do serviço.

7. Trabalho que recusamos

Recusamos pedidos com regularidade. As categorias recorrentes são: aceder a uma conta ou dispositivo de um parceiro, familiar ou colaborador; testar um concorrente; recuperar dados de um sistema cuja propriedade o requerente não consegue demonstrar; e deixar acesso ativo depois de terminada a intervenção. Não prestamos estes serviços a qualquer preço, nem os encaminhamos para terceiros.

8. Enquadramento legal

O nosso trabalho é realizado ao abrigo da lei portuguesa e da União Europeia, incluindo a Lei 109/2009 do cibercrime e o RGPD. Testes de segurança autorizados e executados dentro de um âmbito contratual são lícitos; a mesma atividade sem autorização não o é, e é exatamente por isso que o passo da autorização não é negociável. Os dados pessoais encontrados durante uma intervenção são tratados conforme a nossa Política de Privacidade, e as condições comerciais constam dos nossos Termos de Serviço.

9. Questões e comunicações

Se considera que uma intervenção o afetou, se quer verificar se um teste que detetou está autorizado, ou se quer comunicar um problema de segurança nos nossos próprios sistemas, escreva para [email protected]. Respondemos no prazo de um dia útil.

Se recebeu tráfego que julga ter origem nossa e não autorizou qualquer teste, contacte-nos de imediato com os registos temporais e os endereços de origem. Verificamos nos nossos registos de intervenções e confirmamos no mesmo dia útil.