Por que a auditoria de intrusão deixou de ser diferencial técnico e passou a ser condição de contrato, e o que acontece quando o software que integra com o ERP da fábrica não tem essa camada de proteção?
1. O ponto cego que a maioria das indústrias têxteis não enxerga
Em janeiro de 2026, a Reforma Tributária inaugurou um modelo em que a nota fiscal eletrônica passou a operar como radar de fiscalização em tempo real, com transmissão de eventos fiscais para o Comitê Gestor do IBS e a Receita Federal. Simultaneamente, os principais magazines brasileiros aceleraram exigências de rastreabilidade RFID no padrão GS1 EPC GEN2 para fornecedores. E, no pano de fundo, o ransomware direcionado a empresas de médio porte cresceu de forma acelerada em toda a América Latina. Segundo dados publicados pela IBM Security Report e pela CSO Online em relatórios de 2025, o Brasil concentra hoje a maior parte dos ataques registrados no continente.
Três forças ao mesmo tempo, empurrando a indústria têxtil brasileira para o mesmo ponto: adotar rastreabilidade digital com integração nativa entre software de terceiro e ERP proprietário. E, com essa adoção, expor uma superfície de ataque que, poucos anos atrás, sequer existia.
O ponto cego é este: no processo de compra de um sistema de RFID, o empresário têxtil discute preço da etiqueta, prazo de implantação e integração com o ERP. Raramente discute como esse novo componente de software será protegido contra invasão. E quando o problema aparece sob a forma de um ransomware que criptografa a operação por sete dias e chega junto de um pedido de resgate em Bitcoin, o custo da omissão passa a ser calculado em milhões de reais e semanas de faturamento paralisado.
Este artigo trata do que é Pentest, por que ele deixou de ser opcional no mercado de integradores de RFID, e por que o padrão adotado pela iTAG define hoje uma linha divisória entre fornecedores de solução e vendedores de tecnologia.
2. O que é Pentest, tecnicamente?
Pentest, abreviação de penetration testing, é um conjunto de testes técnicos em que uma equipe de especialistas em cybersecurity, externa à empresa fornecedora do software, assume em ambiente controlado o comportamento de um invasor real. O objetivo é encontrar vulnerabilidades exploráveis antes que um atacante mal-intencionado as encontre em produção.
O escopo típico de um Pentest de aplicação SaaS integrada a ERP cobre cinco camadas técnicas:
Primeira, a camada de aplicação, que envolve testes de injeção SQL, cross-site scripting (XSS), server-side request forgery (SSRF), controle de acesso indevido (broken access control), quebra de autenticação e falhas de sessão. Essas são as vulnerabilidades listadas historicamente no OWASP Top 10 e representam as portas de entrada mais comuns em ataques a sistemas corporativos.
Segunda, a camada de API. Sistemas de rastreabilidade RFID modernos operam expondo endpoints REST ou GraphQL que se comunicam com o ERP do cliente. Cada endpoint é uma superfície de ataque potencial. Testes específicos verificam controle de rate limiting, exposição de dados sensíveis, autenticação por token, integridade de payload e vulnerabilidades listadas no OWASP API Security Top 10.
Terceira, a camada de infraestrutura, que envolve varredura de portas, análise de configurações de servidor, análise de certificados TLS e detecção de serviços com versões desatualizadas ou expostas indevidamente.
Quarta, a camada de código-fonte. Auditorias mais rigorosas incluem revisão manual de código (secure code review), buscando padrões de programação inseguros que ainda não geraram vulnerabilidade explorável, mas que representam risco latente.
Quinta, a camada de integração com o ERP do cliente. Essa é a camada mais crítica e a menos discutida publicamente, porque exige colaboração entre o fornecedor de RFID e o cliente para simular o comportamento do software em produção sem colocar o ambiente real em risco.
Um Pentest bem executado termina com um relatório técnico detalhado, contendo classificação de vulnerabilidades por severidade (comumente usando a metodologia CVSS, sigla para Common Vulnerability Scoring System), evidências reproduzíveis, recomendações de correção e prazo esperado para remediação. Sem esse documento, o exercício vira teatro de segurança.
3. Por que um sistema de RFID exige Pentest específico?
Existe uma diferença fundamental entre proteger um site institucional e proteger um software de rastreabilidade RFID em operação industrial. O site é uma vitrine. Se for invadido, a empresa tem seu conteúdo desfigurado, perde reputação, mas a operação segue funcionando. O software de RFID é infraestrutura. Se for invadido, a operação inteira para.
Um sistema de RFID moderno como o da iTAG, que se integra nativamente a mais de 40 ERPs do mercado brasileiro (TOTVS, SAP, Linx, Senior, Sisplan, entre outros), opera dentro da estrutura de TI do cliente, com acesso privilegiado à base de dados. Isso significa que, se essa integração for comprometida, o invasor não ganha apenas acesso ao software RFID. Ganha uma ponte para o ERP, e a partir dele para toda a operação da fábrica: financeiro, estoque, folha de pagamento, dados de clientes, base de fornecedores.
Em jargão técnico, isso se chama lateral movement, a capacidade de um invasor, após comprometer um sistema periférico, se mover lateralmente para sistemas críticos. É a estratégia mais comum em ataques de ransomware direcionados a médias e grandes empresas nos últimos três anos.
O Pentest específico de um sistema RFID precisa verificar, portanto, não apenas o software isoladamente, mas o comportamento dele dentro da arquitetura do cliente. Precisa validar que, se um invasor comprometer a aplicação RFID, ele não consegue usar essa posição para se mover em direção ao ERP.
Isso raramente é feito por revendedores de etiqueta e por integradores que compram software de terceiros e apenas os configuram. Um Pentest com essa profundidade exige acesso ao código-fonte da aplicação, controle da infraestrutura de deployment e capacidade de correção rápida quando uma vulnerabilidade é encontrada. Apenas fornecedores que desenvolvem software próprio conseguem estruturar essa camada de forma consistente.
4. O que acontece quando o Pentest não existe?
O cenário abaixo não é hipotético. É um padrão que se repete em relatórios de incidentes publicados por firmas de resposta a incidentes como Sophos, Kaspersky e Palo Alto Networks.
Passo 1. Reconhecimento. O invasor identifica que uma indústria têxtil de médio porte opera com determinado software de RFID conectado ao seu ERP. Essa informação frequentemente é pública, seja porque a empresa divulgou em release de mercado, seja porque o próprio fornecedor de RFID publica o cliente em sua lista de cases.
Passo 2. Varredura. Ferramentas automatizadas (Nessus, Nmap, Burp Suite, entre outras) escaneiam a superfície externa da aplicação em busca de vulnerabilidades conhecidas. Uma versão desatualizada de uma biblioteca, um endpoint de API sem autenticação adequada, um subdomínio esquecido. Qualquer coisa serve como porta.
Passo 3. Exploração. Uma vulnerabilidade é escolhida. O invasor obtém acesso inicial ao software RFID. Isso pode acontecer sem que ninguém na empresa perceba, porque não há sistema de detecção contínua nesse componente periférico.
Passo 4. Escalonamento. Uma vez dentro, o invasor busca elevação de privilégio. Se o software RFID roda com credenciais amplas para se comunicar com o ERP (comum em integrações mal configuradas), essa elevação é imediata.
Passo 5. Movimento lateral. Com acesso ao ERP, o invasor navega para outros sistemas conectados. Financeiro. Backup. Servidores de arquivo. Descoberta de credenciais salvas em texto plano. Extração de bases de dados de clientes e fornecedores para venda em fóruns de dark web.
Passo 6. Impacto. Quando a exfiltração está completa, o ransomware é acionado. Todos os sistemas críticos são criptografados. Backups também, se estiverem online e mal segmentados. A mensagem de resgate aparece nas telas dos operadores. O valor pedido varia, comumente entre 100 e 500 Bitcoins, dependendo do porte da vítima.
Passo 7. Impacto operacional. A empresa fica sem faturamento. A produção para porque o sistema de estoque não responde. Nota fiscal não pode ser emitida. Pedidos travam. Clientes cancelam. Grandes redes fornecedoras suspendem contratos por descumprimento de SLA. Em uma indústria têxtil de médio porte, cada dia parado representa entre 3% e 5% do faturamento mensal.
Nos quatro clientes iTAG que sofreram tentativas de ataque nos últimos anos, esse cenário se desenrolou. Em nenhum dos casos a origem foi o software da iTAG, o que foi comprovado tecnicamente em auditoria formal, com documentação de conformidade Pentest, ISO 27001 e LGPD. A empresa fornecedora do software sob ataque conseguiu demonstrar que não era vetor de invasão. A operação do cliente foi paralisada, mas a responsabilidade jurídica e reputacional pela invasão não recaiu sobre o integrador RFID.
Essa é a diferença prática entre operar com Pentest instalado e operar sem. Não é apenas prevenção. É a capacidade de comprovar, formalmente, que sua camada de tecnologia não foi a porta de entrada, o que, na era da LGPD, define se sua empresa vai enfrentar sozinha o incidente ou vai poder responsabilizar quem construiu a porta que ficou aberta.
5. As cinco camadas que compõem o padrão de segurança da iTAG
A iTAG opera com um modelo de segurança em cinco camadas complementares, e é importante compreender que Pentest, isolado, é apenas uma dessas camadas. Nenhuma delas, sozinha, é suficiente. Juntas, elas formam o que a comunidade de cybersecurity chama de defense in depth, a defesa em profundidade.
Primeira camada, conformidade LGPD. A Lei Geral de Proteção de Dados (Lei 13.709/2018) estabelece obrigações claras sobre coleta, armazenamento e processamento de dados pessoais. Em sistemas RFID integrados ao PDV e ao ERP do cliente, essa exigência se estende ao histórico de compra, dados de fidelização e dados operacionais que possam identificar comportamentos individuais. A iTAG segue o padrão completo da LGPD em todos os pontos de coleta, tratamento e retenção.
Segunda camada, firewall corporativo. Todo perímetro de comunicação entre o software iTAG e o ambiente do cliente é protegido por firewalls de próxima geração (NGFW), com regras específicas de permissão e negação por endpoint, IP de origem e tipo de tráfego. Ataques de força bruta e varredura automatizada são bloqueados na entrada, antes de chegarem à aplicação.
Terceira camada, antivírus corporativo. Toda a infraestrutura de servidores da iTAG opera com antivírus corporativo com atualização contínua de assinaturas, análise heurística e proteção contra ameaças de zero-day. Isso protege tanto a infraestrutura de desenvolvimento quanto a de produção.
Quarta camada, ISO/IEC 27001. Esta é a norma internacional que estabelece requisitos para um Sistema de Gestão de Segurança da Informação (SGSI). Programar seguindo as melhores práticas da ISO 27001 significa que o processo de desenvolvimento, não apenas o produto final, segue controles rigorosos: gestão de acesso, gestão de mudanças, controle criptográfico, segregação de ambientes, gestão de incidentes, continuidade de negócio. É um padrão que reduz a probabilidade de vulnerabilidades entrarem em produção.
Quinta camada, Pentest. A auditoria mensal por empresa externa especializada é o teste de estresse dessas quatro camadas anteriores. Se algo passou pelos controles internos, o Pentest encontra. Cada relatório é analisado, cada vulnerabilidade classificada por severidade, cada correção aplicada e verificada no ciclo seguinte. Isso significa que o código que chega em produção passa por múltiplas malhas de filtragem antes de estar em contato com o cliente.
Essas cinco camadas operam em conjunto, sem exceção, para todos os clientes iTAG, do menor confeccionista ao maior integrador do varejo brasileiro. Não é padrão premium. É o padrão único.
6. O que perguntar ao seu integrador RFID atual?
Se você já tem RFID em operação, ou está no processo de contratar, existe um conjunto de perguntas técnicas que estabelece um piso de qualidade em segurança de dados. Nenhuma dessas perguntas é ostensiva. Todas devem ser respondidas com clareza e documentação por qualquer fornecedor sério.
O software é desenvolvido internamente ou é revenda de solução de terceiros? A resposta a essa pergunta define quem tem controle sobre o código e, portanto, quem pode auditá-lo. Fornecedores que revendem software de terceiros não conseguem, em geral, contratar Pentest sobre esse código.
O fornecedor opera com Pentest recorrente executado por auditor externo? Com que frequência? Quem é a empresa auditora? Um Pentest anual é bom. Um Pentest mensal é excepcional. Um Pentest inexistente é sinal de vermelho.
O código passa por revisão de segurança antes de cada release em produção? Existe documentação formal do processo?
O fornecedor está em conformidade formal com a LGPD? Consegue apresentar o Registro de Operações de Tratamento de Dados?
A programação segue as práticas da ISO/IEC 27001? Existe certificação ou apenas menção de “melhores práticas”?
Como é estruturado o perímetro de comunicação entre o software do fornecedor e o ERP do cliente? Existem firewalls dedicados? A comunicação passa por autenticação mútua com certificados? O fornecedor consegue rastrear cada requisição feita a partir do software para o ERP?
Se um cliente do fornecedor sofrer ataque hacker, o fornecedor consegue comprovar, em auditoria formal, que a origem não veio da sua solução? Essa é a pergunta mais importante. Porque, no dia do incidente, essa comprovação é o que separa uma dor de cabeça operacional de uma responsabilização jurídica.
7. A distinção estratégica: vendedor de etiqueta versus empresa de solução
Existe uma distinção conceitual entre os dois tipos de fornecedor de RFID que atuam no mercado brasileiro, e ela se manifesta com clareza justamente na hora de discutir segurança de dados.
Os revendedores de etiqueta operam sob outro modelo de responsabilidade: vendem o consumível, entregam a mercadoria, faturam. A integração fica com o cliente ou com um implantador terceirizado. A responsabilidade sobre a segurança da comunicação com o ERP nunca é assumida formalmente por ninguém.
Empresas de solução RFID, ao contrário, entregam quatro pilares integrados: software próprio, hardware calibrado, etiqueta fabricada e equipe de implantação. Esses quatro pilares operam como um sistema único, e a responsabilidade técnica sobre o funcionamento e a segurança desse sistema é assumida pelo integrador. Não é opcional. É estrutural.
A iTAG opera sob esse segundo modelo. E foi essa distinção que permitiu que a empresa estruturasse, ao longo dos últimos anos, um padrão de segurança de dados que hoje protege todos os seus clientes. Não apenas as multinacionais que exigem esse nível como cláusula contratual, mas os confeccionistas de médio porte que sequer sabiam que essa camada existia até serem defendidos por ela.
8. O que fazer agora?
Se sua indústria opera com RFID e você nunca perguntou ao seu integrador sobre Pentest, ISO 27001 ou LGPD, existem três movimentos concretos que podem ser feitos ainda esta semana.
Solicitar formalmente ao fornecedor atual a documentação de conformidade em segurança de informação. Não se contentar com respostas verbais nem com afirmações em site institucional. Peça o relatório de Pentest mais recente, o registro LGPD, a evidência de conformidade ISO 27001. Se o fornecedor não conseguir apresentar em prazo razoável, essa é a resposta.
Solicitar reunião técnica entre o TI da sua empresa e o TI do fornecedor. Uma conversa de 60 minutos entre pares técnicos revela mais sobre o padrão de segurança de um fornecedor do que meses de reunião comercial. Se o fornecedor evitar essa reunião, essa também é a resposta.
Se está considerando contratar um novo fornecedor de RFID, incluir todas as perguntas listadas na seção 6 como cláusula obrigatória do processo de RFP. Fornecedores que não respondem, ou que respondem com evasivas, se autoexcluem antes que o contrato seja assinado.
O custo de perguntar é zero. O custo de não perguntar, na média dos incidentes reportados no Brasil em 2024 e 2025, ficou entre R$ 500 mil e R$ 3 milhões por evento, considerando apenas paralisação operacional, sem contar dano reputacional e possíveis sanções da ANPD por vazamento de dados pessoais.
A conversa que hoje raramente acontece na reunião de compra é a mesma conversa que, na semana em que o ataque acontece, é a única que importa. E o momento certo para ter essa conversa é antes do ataque.
iTAG Tecnologia. Primeira integradora autorizada EPC GEN2 Padrão GS1 do Brasil. 18 anos de operação. Mais de 350 projetos implantados. 150 milhões de etiquetas conectadas por ano. Software próprio auditado mensalmente por empresa externa em conformidade LGPD, ISO/IEC 27001, com Pentest instalado em todos os clientes, sem exceção.