Segurança de SaaS: o que a água ensina sobre o seu sistema

Tem um painel do seu sistema aberto na internet agora. Você provavelmente não sabe qual. Pode ser o admin do estoque, o dashboard do CRM que o antigo fornecedor montou, ou aquela planilha compartilhada "com qualquer pessoa com o link". Segurança de SaaS costuma falhar exatamente nisso: não em hackers geniais, mas em portas que alguém esqueceu abertas.

Em agosto de 2026, o ex-chefe da NSA, Paul Nakasone, falou algo simples depois de uma série de ataques suspeitos ligados ao Irã contra sistemas de água nos Estados Unidos: controladores de estação de água não deveriam estar na internet. Ponto. Não era um problema de criptografia avançada. Era gente colocando o equipamento que abre e fecha válvula numa rede pública, muitas vezes com senha padrão.

Se uma estação de tratamento de água comete esse erro, seu SaaS de agendamento também pode. A diferença é que ninguém vai escrever notícia sobre você. O prejuízo vai ficar só com você mesmo.

Por que sistemas de água foram parar na internet

A resposta é chata: conveniência. O operador queria checar o nível do reservatório do celular, em casa, às 23h. O fornecedor do controlador ofereceu acesso remoto. Alguém abriu uma porta no roteador e pronto. Funcionou por anos. Ninguém voltou para fechar.

Nos casos relatados, os invasores nem precisaram de técnica sofisticada. Eles buscaram na internet por dispositivos conhecidos, tentaram senha de fábrica e entraram. Em alguns municípios, mexeram em configurações e obrigaram a operar em modo manual. Em outros, só deixaram uma mensagem na tela.

Isso é a parte que importa para você: o ataque de verdade quase nunca é filme. É alguém testando a maçaneta de cada porta da rua e entrando na que estava destrancada.

O seu negócio tem a mesma vulnerabilidade

Troque "controlador de válvula" por qualquer sistema que roda sua empresa. Eu vejo isso o tempo todo em clientes pequenos e médios:

• Painel de administração do site acessível em /admin com usuário admin e senha que o desenvolvedor colocou em 2019.
• Banco de dados na nuvem com a porta aberta para qualquer IP, porque "o programador precisava acessar de casa".
• Automação no n8n ou Make com webhook público que aceita qualquer requisição, sem token nenhum.
• Integração com WhatsApp usando uma chave de API colada num arquivo que está no GitHub, público.
• Câmeras, catraca, sistema de ponto, tudo com acesso remoto ligado e senha de fábrica.

Nenhum desses é exótico. Todos eu já encontrei em auditoria de cliente que achava que estava "tranquilo". Um deles era uma clínica com dados de paciente. Tinha a API do sistema de agendamento aberta sem autenticação. Qualquer um com a URL listava nome, telefone e horário de consulta.

Segurança não é sobre trancar bem. É sobre não deixar a porta na rua.

O que "não deveria estar na internet" significa na prática

O conselho do Nakasone tem uma lógica que serve para qualquer sistema. Antes de perguntar "como eu protejo isso?", pergunte "isso precisa estar acessível de fora?".

Na maioria dos casos, a resposta é não. O banco de dados só precisa conversar com a aplicação. O painel interno só precisa ser acessado pela equipe. O webhook só precisa aceitar chamadas de um fornecedor específico.

Pensando assim, a lista de coisas que de fato precisam ficar expostas encolhe muito. Sobra o site institucional, a área do cliente e, no máximo, um ou dois pontos de integração. Todo o resto pode ficar atrás de uma VPN, de uma lista de IPs permitidos, ou simplesmente desligado.

Isso não custa caro. Fechar a porta do banco de dados para só aceitar o servidor da aplicação é uma configuração de dez minutos em qualquer provedor de nuvem. Colocar um token no webhook é uma linha. O caro é o vazamento depois.

Quatro perguntas para fazer hoje ao seu fornecedor

Você não precisa entender de firewall para cobrar isso. Precisa fazer as perguntas certas para quem cuida do seu sistema, seja freelancer, agência ou o sobrinho que "entende de computador".

1. Quais serviços da empresa estão acessíveis pela internet sem login? Peça a lista. Se a pessoa não sabe responder, esse já é o problema.
2. Ainda existe alguma senha padrão ou senha compartilhada em uso? Roteador, painel, banco, admin do WordPress. Uma senha por pessoa, com dois fatores nos sistemas críticos.
3. Se o desenvolvedor anterior sair hoje, ele ainda consegue entrar em alguma coisa? Acesso de ex-fornecedor é uma das formas mais comuns de vazamento. Já escrevi sobre isso aqui no blog.
4. Como eu descubro que fui invadido? Sem log e sem alerta, você só descobre quando o cliente reclama ou quando o dado aparece à venda.

Se as quatro respostas forem claras e convincentes, ótimo. Se ficarem vagas, você acabou de descobrir onde investir a próxima hora do seu mês.

O SaaS que você contrata também entra na conta

Tem um segundo lado. Boa parte do seu negócio roda em SaaS de terceiros: CRM, ERP, ferramenta de disparo, sistema de agendamento. Você não controla o servidor deles, mas controla como você usa.

Duas coisas fazem diferença de verdade. Primeira: ative a autenticação em dois fatores em tudo que permite. É a proteção mais barata que existe e a maioria das contas invadidas não tinha. Segunda: revise quem tem acesso a quê, pelo menos a cada trimestre. Contas de gente que já saiu ficam ativas por anos, e cada uma delas é um controlador de água plugado na internet com a senha na etiqueta.

Se o fornecedor do SaaS não oferece dois fatores em 2026, isso diz algo sobre a maturidade dele. Vale pesar na renovação.

Não precisa virar paranoico, precisa fechar portas

Nada disso exige que você entenda de segurança. Exige que alguém olhe para o seu sistema com a pergunta certa: o que está exposto e não precisava estar? Na maior parte das empresas que eu atendo, a primeira rodada dessa análise cabe em uma tarde e resolve os riscos mais óbvios sem trocar de sistema nem gastar com ferramenta nova.

A estação de água não foi atacada por ser importante. Foi atacada por estar visível. Seu sistema pode ser bem menos importante e continuar tão visível quanto.

Se você quer que alguém faça esse pente-fino no seu sistema, na sua automação ou no SaaS que você desenvolveu, dá uma olhada em como eu trabalho. Costuma ser uma conversa mais curta do que você imagina.

Tem um painel do seu sistema aberto na internet agora. Você só não sabe qual.

Em agosto, o ex-chefe da NSA resumiu uma onda de ataques a estações de água nos EUA numa frase: controlador de válvula não deveria estar na internet. Não foi hacker genial. Foi senha de fábrica e porta esquecida aberta.

Troca "válvula" por painel /admin de 2019, banco na nuvem aberto pra qualquer IP ou webhook do n8n sem token. Já achei todos em clientes que se diziam "tranquilos", incluindo uma clínica com dados de paciente expostos.

Segurança não é sobre trancar bem. É sobre não deixar a porta na rua.

Antes de perguntar "como eu protejo isso?", pergunte "isso precisa estar acessível de fora?". Na maioria dos casos, a resposta é não e a correção cabe numa tarde.

Quer saber o que está exposto no seu sistema sem precisar? Me chama, costuma ser uma conversa mais curta do que você imagina.

#SegurançaDaInformação #SaaS #Cibersegurança #PequenasEmpresas #Automação