RADARNotícias de segurança, todo dia

Encontre falhas de segurança nas suas aplicações antes que alguém faça isso.

Nossa tecnologia testa seus sites e APIs como um atacante de alto nível.No código, toda mudança é revisada com contexto antes de ir para produção.

Agendar demonstração

Empresas para as quais nosso time já reportou vulnerabilidades

Alvo no globo: uma aplicação de exemplo, em São Paulo

Conte com quem vive e respira cybersecurity.

Os achados são revisados por pesquisadores reconhecidos por Apple, Microsoft e Google.

Time HifyBrasil, 2026
TOP 2
Lucas Souza, pesquisador · 3º em 2025
Hall of FameReconhecidos por
AppleMicrosoftGoogle
  • Enter
  • Allu
  • Adapta
  • Grupo Dislub Equador
  • Onfly
  • Pilotos e provas de conceito

    Empresas que já testam com a Hify

    Times de segurança que já colocaram a Hify para testar e proteger as próprias aplicações.

  • Grupo Zelo
  • Grupo Águia Branca
  • Hubla
  • Conta Simples
  • Nexti

Cadência

Um pentest por anodeixa 49 semanas vulneráveis.

Seu código muda a cada deploy.A Hify testa em ciclos, e uma mudança relevante dispara um teste direcionado.

PCI DSS 4.0.1 · 11.4

O requisito pede pentest ao menos a cada 12 meses e também depois de mudança significativa na aplicação ou na infraestrutura.

  1. AntesPentest anual
  2. DepoisCom a Hify

3de 52 semanas com teste

As 52 semanas de um ano com pentest anual: 49 semanas sem teste, 3 semanas com teste (52 no total).

Teste nas três primeiras semanas. Depois, 49 semanas sem teste.

Cada quadrado é uma semana.

O que você recebe

Do achado à correção e reteste, em tempo recorde.

Abra um achado como ele chegaria para você.A conta de teste A consegue ler a fatura da conta de teste B pela API.

Um exemplo de finding
demo-02

A conta A lê a fatura da conta B pela API

Qualquer conta logada consegue abrir faturas de outra conta trocando o número na URL.
AltapesquisadorCWE-639Aberto

Clique nas etapas e nas abas para ver cada parte do achado.

Como o ataque acontece

  • 1. Conta A logada para 2. Pede a fatura de B
  • 2. Pede a fatura de B para 3. API entrega sem checar
  • 3. API entrega sem checar para 4. Dados de outra conta
  1. 1. Conta de teste ALogada, sem nenhum acesso especial
  2. 2. Pede a fatura demo-02, que é da conta BGET /api/invoices/demo-02
  3. 3. A API devolve a fatura sem checar o dono200 OK
  4. 4. Uma conta lê a fatura de outraValores e dados de cobrança de outro cliente

Autenticados como a conta de teste A, pedimos a fatura demo-02, que pertence à conta de teste B. A API devolve a fatura.

Requisição · conta Ahttp
GET /api/invoices/demo-02 HTTP/1.1Host: api.example.comCookie: session=test-account-a
Resposta · fatura da conta Bhttp
HTTP/1.1 200 OKContent-Type: application/json { "invoice": "demo-02",  "owner": "test account B" }

Hify Attackpara suas aplicações e APIs

Teste com swarms de agentes.Revisado por especialistas.

Attack testa os sites e APIs que você autorizou e entrega cada achado com prova que o seu time reproduz.

  1. Agentes atacam os alvos combinados no escopo.

  2. Cada achado passa por uma pessoa antes de chegar a você.

  3. O achado traz o passo a passo para reproduzir e corrigir.

  4. Refazemos o ataque para confirmar que a falha fechou.

TestandoExemplo ilustrativo
Vários agentes ao mesmo tempo
  1. Receipt
    rcpt_3f1a
    Agente
    mapa
    Alvo
    api.example.com
    Resultado
    48 rotas, 6 com dados de fatura
  2. Receipt
    rcpt_8c42
    Agente
    acesso
    Alvo
    /api/invoices/{id}
    Resultado
    demo-02 abriu com a conta errada. Vai para revisão.
  3. Agente
    entrada
    Alvo
    /api/search
  4. Gate
    admin.example.com não está na lista que você autorizou
    Agente
    acesso
    Alvo
    admin.example.com

Cada agente cuida de uma parte. Fora do escopo, nada é enviado.

Hify Defensepara o seu código

Revisão de cada mudança de código, com contexto.

Defense lê a mudança junto com os serviços que ela toca e explica o risco para quem escreveu.

  • Hify Defense entra pelo GitHub App, no repositório que você escolher.
  • Seus desenvolvedores decidem cada mudança antes de ir para produção.
Pull request #128 · Endpoint de faturasaberto por ana.dev
src/api/invoices.ts+2
export async function getInvoice(req: Request, res: Response) {
adicionada: const invoice = await db.invoices.find(req.params.id);
adicionada: return res.json(invoice);
}
Hify DefenseRisco alto

Esta rota devolve a fatura sem conferir se ela é da conta logada. Qualquer usuário autenticado consegue ler a fatura de outra conta trocando o id.

Sugestão

src/api/invoices.ts+3
const invoice = await db.invoices.find(req.params.id);
adicionada: if (invoice.accountId !== req.session.accountId) {
adicionada: return res.status(403).end();
adicionada: }
return res.json(invoice);
Revisão de segurança1 risco alto
Corrija o risco apontado para liberar o merge.

O achado chega onde seu time já trabalha.

Ticket com dono e prazo, alerta no canal do time e reteste quando o deploy sai.

Achados
JiraSlackMicrosoft Teams
Correção e reteste
MCP (agentes de código)CI com hify runGitHub App
Login (SSO)
GoogleGitHubSAML e OIDC
  • Jira
  • Slack
  • Microsoft Teams
  • MCP (agentes de código)
  • CI com hify run
  • Google (SSO)
  • GitHub (SSO)
  • SAML e OIDC
  • GitHub App

Comparação

Profundidade de pentest, no ritmo das suas mudanças.

O pentest anual vale para uma data. Os scanners, da aplicação e do código, não conhecem a regra do seu negócio. O bug bounty depende de quem aparece. A Hify testa a aplicação em ciclos e revisa cada mudança de código, com um pesquisador validando cada achado.

Comparação entre pentest anual, scanner (DAST), análise de código (SAST), bug bounty e a plataforma Hify, na aplicação rodando e no código
CritérioPentest anualconsultoria, com data marcadaScanner (DAST)varre a aplicação rodandoAnálise de código (SAST)regras sobre o código-fonteBug bountypesquisadores externos, pago por achadoHifyAttack e Defense, com validação por especialista
Frequência1 vez por anoa cada varredura agendada ou builda cada commit ou buildenquanto o programa estiver abertoem ciclos, pela ordem de risco, e após mudança relevante
Revisa cada mudança de código antes de produçãoNãonãoNãonão lê o códigoSimpor regras e padrões, sem contextoNãonãoSimcom o contexto dos serviços (Defense)
Entende a regra de negócio no códigoParcialsó no que foi testadoNãonãoParcialnão sabe quem é dono do quêParcialdepende do pesquisadorSimlê a mudança junto com os serviços que ela toca
Falhas de autorização e lógica de negócioIDOR/BOLASimdentro do período do testeParciallimitado: não conhece a regra do negócioParciallimitado: não sabe quem é dono do quêParcialdepende do pesquisadorSimcom agentes de autorização e de regra de negócio
Testes autenticados com vários perfisSimcom as contas fornecidasSimNãonão executa a aplicaçãoParcialdepende do acesso que o programa dáSimcada perfil contra as rotas da matriz de autorização
Prova de exploração reproduzívelSimno relatório finalParcialalerta com a requisição, sem o caminho de ataqueNãoaponta o trecho, sem provar a exploraçãoSimno relato do pesquisadorSimrequisição e resposta em cada achado
Quem filtra falso positivoo consultorseu timeseu time, com muitos alertasa triagem do programa, depois seu timeespecialista Hify, antes de chegar ao seu time
Encaixa no deployCINãonãoSimsimSimsimNãonãoSimum passo no pipeline dispara um teste direcionado
Reteste da correçãoParcialse estiver no contratoSimna próxima varreduraSimna próxima análiseParcialdepende do pesquisadorSimno mesmo caminho de ataque, com o antes e o depois
Mostra o que não foi testado, e por quêParcialdepende do relatórioParcialmostra o que rastreou, sem o motivoParcialmostra o que as regras cobremNãoSimrota por rota, com o motivo
Previsibilidade de custovalor fixo por projetoassinaturaassinaturavariável, pago por achadopor aplicação, conforme o plano; não varia com o número de achados
Rede interna, engenharia social e teste físicoSimquando contratadoNãoNãonãoNãoraramente no escopoSimquando contratado

  • Frequência

    Hifyem ciclos, pela ordem de risco, e após mudança relevante
    Pentest anual
    1 vez por ano
    Scanner (DAST)
    a cada varredura agendada ou build
    Análise de código (SAST)
    a cada commit ou build
    Bug bounty
    enquanto o programa estiver aberto

  • Revisa cada mudança de código antes de produção

    HifySimcom o contexto dos serviços (Defense)
    Pentest anual
    Nãonão
    Scanner (DAST)
    Nãonão lê o código
    Análise de código (SAST)
    Simpor regras e padrões, sem contexto
    Bug bounty
    Nãonão

  • Entende a regra de negócio no código

    HifySimlê a mudança junto com os serviços que ela toca
    Pentest anual
    Parcialsó no que foi testado
    Scanner (DAST)
    Nãonão
    Análise de código (SAST)
    Parcialnão sabe quem é dono do quê
    Bug bounty
    Parcialdepende do pesquisador

  • Falhas de autorização e lógica de negócioIDOR/BOLA

    HifySimcom agentes de autorização e de regra de negócio
    Pentest anual
    Simdentro do período do teste
    Scanner (DAST)
    Parciallimitado: não conhece a regra do negócio
    Análise de código (SAST)
    Parciallimitado: não sabe quem é dono do quê
    Bug bounty
    Parcialdepende do pesquisador

  • Testes autenticados com vários perfis

    HifySimcada perfil contra as rotas da matriz de autorização
    Pentest anual
    Simcom as contas fornecidas
    Scanner (DAST)
    Sim
    Análise de código (SAST)
    Nãonão executa a aplicação
    Bug bounty
    Parcialdepende do acesso que o programa dá

  • Prova de exploração reproduzível

    HifySimrequisição e resposta em cada achado
    Pentest anual
    Simno relatório final
    Scanner (DAST)
    Parcialalerta com a requisição, sem o caminho de ataque
    Análise de código (SAST)
    Nãoaponta o trecho, sem provar a exploração
    Bug bounty
    Simno relato do pesquisador

  • Quem filtra falso positivo

    Hifyespecialista Hify, antes de chegar ao seu time
    Pentest anual
    o consultor
    Scanner (DAST)
    seu time
    Análise de código (SAST)
    seu time, com muitos alertas
    Bug bounty
    a triagem do programa, depois seu time

  • Encaixa no deployCI

    HifySimum passo no pipeline dispara um teste direcionado
    Pentest anual
    Nãonão
    Scanner (DAST)
    Simsim
    Análise de código (SAST)
    Simsim
    Bug bounty
    Nãonão

  • Reteste da correção

    HifySimno mesmo caminho de ataque, com o antes e o depois
    Pentest anual
    Parcialse estiver no contrato
    Scanner (DAST)
    Simna próxima varredura
    Análise de código (SAST)
    Simna próxima análise
    Bug bounty
    Parcialdepende do pesquisador

  • Mostra o que não foi testado, e por quê

    HifySimrota por rota, com o motivo
    Pentest anual
    Parcialdepende do relatório
    Scanner (DAST)
    Parcialmostra o que rastreou, sem o motivo
    Análise de código (SAST)
    Parcialmostra o que as regras cobrem
    Bug bounty
    Não

  • Previsibilidade de custo

    Hifypor aplicação, conforme o plano; não varia com o número de achados
    Pentest anual
    valor fixo por projeto
    Scanner (DAST)
    assinatura
    Análise de código (SAST)
    assinatura
    Bug bounty
    variável, pago por achado

  • Rede interna, engenharia social e teste físico

    HifySimquando contratado
    Pentest anual
    Simquando contratado
    Scanner (DAST)
    Não
    Análise de código (SAST)
    Nãonão
    Bug bounty
    Nãoraramente no escopo

Comparação geral: contratos de pentest, scanners e programas de bug bounty variam.

Veja um ciclo com a sua aplicação.

Na demonstração, você acompanha do escopo ao reteste.

Controle

Você define o escopo e mantém o controle.

Toda requisição fica registrada. O que está fora do escopo é bloqueado antes de sair.

  • Escopo

    Você define o que pode ser testado, e o resto é bloqueado antes de sair.

  • Contas de teste

    Você entrega as contas e o nível de acesso de cada uma.

  • Janela de teste

    Você escolhe o horário e o limite de requisições, e métodos destrutivos ficam bloqueados.

  • Pausa

    Seu time pausa a execução a qualquer momento, e cada requisição fica registrada.

    Em execução

    Segure o botão ou Espaço ou Enter por 1,2 s. Soltar antes ou Esc cancela.

  • Dados

    Região, retenção, provedores de modelo, uso para treino e guarda de credenciais vêm respondidos por escrito no questionário de segurança, sob NDA.

Preço

Custo previsível e do tamanho da sua necessidade.

  • Como cobramos

    Por aplicação

    O peso de cada uma depende de quantas URLs, APIs e integrações ela tem. Frequência e nível de acesso também contam.

  • Custo extra por achado

    Nenhum

    O valor não varia com o número de achados.

  • Reteste

    Incluso

    Depois da correção, retestamos o achado original no escopo combinado.

Time

Quem está por trás da Hify.

Quatro cofundadores construindo a plataforma, com um advisor do conselho do Nubank.

  • Igor Gontijo

    Cofundador, CEO

    Igor Gontijo

    Fundou, escalou e vendeu a Hackr Ads, plataforma que gerenciava mais de R$ 380 milhões em anúncios. Adquirida pela Conta Simples em 2022.

    • Hackr Ads
    • Conta Simples
  • Lucas Fonseca

    Cofundador, CPO

    Lucas Fonseca

    Experiência na construção de sistemas com IA. Consultor de segurança da Dreamer, adquirida pela Meta em 2026.

    • Dreamer
  • Lucas Souza

    Cofundador, Chief Offensive Security

    Lucas Souza

    Distinguished hacker, com mais de 1 milhão recebido em bug bounty. TOP 2 da HackerOne no Brasil em 2026, com experiência em times de DevSecOps.

    • Red Wolves
    • PagBank
  • João Costa

    Cofundador, Chief Research & Development

    João Costa

    Foi desenvolvedor e atuou em AppSec no Mercado Pago, no time que constrói as soluções de segurança de aplicações do Mercado Livre. Construiu com Lucas Souza um harness próprio de testes de intrusão.

    • Mercado Livre
    • PagBank
Rogério Calderón

Advisor

Rogério Calderón

Membro do conselho de administração do Nubank e presidente do comitê de risco.

  • Nubank

Perguntas

Dúvidas antes da demonstração.

Respostas curtas. O detalhe do seu caso fica para a conversa.

Em aplicações web e APIs, sim. A Hify testa com muito mais frequência que um pentest anual, e um pesquisador revisa cada achado antes do relatório. Rede interna, engenharia social e teste físico entram quando contratados.

Continua útil. O scanner procura padrões conhecidos, uma requisição por vez. A Hify segue caminhos de várias etapas com sessão real, como usar a conta de teste A para ler os dados da conta B, e entrega cada achado com a requisição, a resposta e o impacto.

O Attack testa a aplicação no ar como um atacante, e um pesquisador revisa cada achado. O Defense revisa cada mudança de código no GitHub, antes de ela chegar ao ar.

O agente reproduz o sinal com outra conta e outros identificadores. Depois um pesquisador confere a regra de negócio, avalia o impacto e descarta o falso positivo. Só entra no relatório o que foi reproduzido e revisado.

No ambiente que você define no escopo, com janela de horário, limite de requisições por segundo e métodos destrutivos bloqueados.

Para começar, não. Dá para partir da visão externa ou de duas contas de teste. Código entra só quando você autorizar.

Seu time decide e faz cada correção. Depois a Hify retesta o achado original dentro do escopo combinado.

Sim. O achado vira ticket no Jira e alerta no Slack ou no Teams. Agentes de código leem o achado pelo MCP, e um passo no CI com hify run pede o reteste depois do deploy.

Onde ficam, por quanto tempo e quem acessa você recebe no questionário de segurança, sob NDA, antes de qualquer dado sensível. Os achados ficam entre a Hify e o seu time, e dados pessoais aparecem mascarados na evidência.

Por aplicação. Na demonstração, mapeamos com você o tamanho da superfície a testar, e a proposta sai a partir disso. O valor não muda com o número de achados, e o reteste está incluso.

Agendar demonstração

Conte quem você é e onde a aplicação roda. A equipe Hify responde no seu e-mail.

O que acontece depois

  1. Marcamos a demonstração com uma aplicação parecida com a sua.
  2. Mapeamos com você o tamanho da superfície a testar.
  3. Você recebe a proposta, por aplicação, com o reteste incluso.
Colaboradores