HACKERS DO BRASIL

Início › Segurança ofensiva › white hat

White hat: o que significa e como atua o pesquisador que joga dentro das regras

White hat designa o pesquisador de segurança que encontra falhas e as reporta de forma responsável, respeitando autorização, escopo e prazos de correção.

De onde vem a expressão

A metáfora do chapéu vem do cinema de faroeste: o branco era o mocinho, o preto era o vilão, e o cinza ficava no meio. A comunidade de segurança adotou a imagem nos anos 1980 para separar quem reportava falhas de quem as explorava para proveito próprio.

Com o tempo a metáfora mostrou limites. Existe gray hat, que testa sem autorização mas reporta o achado, e existe pesquisador que trabalha em programa formal de divulgação. A classificação por cor é simplificada: o que define conduta é o consentimento, não a intenção declarada.

O código de conduta na prática

Divulgação responsável significa dar ao fornecedor tempo razoável para corrigir antes de publicar detalhes. Isso inclui canal direto de contato, prazo de resposta acordado, ausência de exploração além do necessário para provar a falha e cuidado com dados de terceiros encontrados no caminho.

Quando o fornecedor não responde, o pesquisador pode escalar para autoridade competente ou para órgão de coordenação, mas continua proibido de usar a falha para obter vantagem. Publicar prova de conceito completa antes da correção expõe usuários reais e costuma encerrar a relação com o fornecedor.

Onde o white hat atua

Os caminhos mais comuns são consultoria de segurança, time interno de segurança de produto, programa de recompensa por falhas e pesquisa independente financiada por programas de divulgação. Cada contexto tem ritmo próprio: consultoria tem prazo de projeto, time interno tem ciclo de desenvolvimento, programa de recompensa tem escopo e regra publicados.

Em todos eles, a qualidade do relatório define o impacto do trabalho. Um achado crítico mal descrito é corrigido devagar; um achado médio bem descrito, com passos claros de reprodução e correção sugerida, costuma ser resolvido em dias.

Erros que tiram o profissional do campo branco

Testar produção sem autorização, manter acesso depois do fim do teste, publicar detalhes antes do patch, usar dados de cliente em demonstração e ignorar o escopo por achar que o achado justifica o desvio. Qualquer um desses erros transforma um pesquisador em incidente jurídico.

Pesquisa de vulnerabilidade em profundidade

Pesquisa vai além de encontrar falha em alvo autorizado: envolve entender a causa raiz no código, reproduzir em ambiente controlado, medir alcance e propor correção estrutural. É o caminho de quem quer contribuir com projetos de código aberto, advisories e programas de divulgação.

O processo exige paciência e rigor. Um relatório de pesquisa útil descreve versão afetada, pré-requisitos, passos mínimos de reprodução, impacto medido e sugestão de correção. Sem isso, o fornecedor não consegue agir e o achado se perde na fila de triagem.

Diferença entre pesquisador e operador de ferramenta

O operador de ferramenta executa scanner e repassa saída. O pesquisador formula hipótese, testa, descarta o que não se confirma e documenta o que se confirma. A diferença aparece quando o scanner erra: sem método, não há como saber se o alerta é falso positivo.

Para o mercado, essa diferença se traduz em confiança. Quem entrega achado validado com prova clara é chamado de novo; quem entrega volume sem validação perde credibilidade na primeira revisão técnica.

Pratique com ambiente controlado. A plataforma Hackers do Brasil reúne laboratórios e trilhas de segurança ofensiva para estudo com autorização e registro de progresso.

Conhecer a plataforma

Perguntas frequentes

White hat pode receber dinheiro por achado?

Sim. Programas de recompensa e contratos de consultoria pagam pelo trabalho. O que não pode haver é cobrança de resgate ou ameaça de divulgação para forçar pagamento, prática conhecida como extorsão.

Divulgar uma falha sem autorização é crime?

Testar sem autorização já é conduta ilegal no Brasil, independentemente da divulgação. Reportar de forma responsável depois de um achado acidental não apaga a irregularidade do acesso, mas pode reduzir consequências práticas.

O que é divulgação coordenada?

É o processo em que pesquisador e fornecedor acordam prazo e conteúdo da publicação. O padrão de mercado é de 90 dias, com flexibilidade quando a correção exige mudança estrutural.

Continue estudando