Quem é Kadu Zambelli e a jornada na Cibersegurança Ofensiva
No episódio do Starti Cast, a host Mirian Fernandes recebeu Carlos Eduardo Zambelli, conhecido como Kadu Zambelli, um especialista em segurança com mais de 20 anos de experiência na área de TI. Ele atua na Starti, fabricante líder de soluções de segurança para pequenas e médias empresas, e compartilhou sua trajetória profissional, que começou como analista de suporte e passou por desenvolvimento web, infraestrutura, redes, cabeamento estruturado, data center e banco de dados.
Kadu destacou que, em todas essas áreas, a segurança sempre esteve presente, o que facilitou sua transição para a segurança ofensiva e defensiva. Ele trabalha na Starti há 8 anos e vê os dois lados da segurança, pois, segundo ele, para saber como se defender, você tem que saber como ataca e vice-versa.
Questionado sobre a rivalidade entre as equipes Red Team e Blue Team, Kadu afirmou que, dentro do ambiente corporativo, essa disputa não deve existir. As duas áreas precisam trabalhar de forma colaborativa para evitar incidentes de segurança. Ele comparou a rivalidade a uma disputa de torcidas, mas reforçou que o objetivo final é o mesmo: identificar falhas e proteger a empresa.
26 falhas na NASA e 0 centavos: Por que ser um Hacker Ético?
Kadu Zambelli ficou conhecido por reportar 26 falhas nos sistemas da NASA, mas apenas duas foram validadas. Ele explicou que a agência espacial possui um programa de VDP (Vulnerability Disclosure Program), que permite que qualquer pessoa no planeta tente encontrar vulnerabilidades de forma legal. Ao encontrar uma falha, o pesquisador recebe uma carta de reconhecimento (LOR), que serve como certificação e visibilidade para sua carreira.
Das 26 falhas reportadas, muitas estavam fora do escopo ou já haviam sido encontradas por outras pessoas (duplicidade). As duas validadas foram classificadas como P2 e P3, ou seja, de alta criticidade. Uma delas permitia editar um documento científico da NASA, e Kadu chegou a inserir uma foto sua para comprovar a exploração. A outra envolvia credenciais de acesso e diretórios internos expostos.
Ele ressaltou que o processo é demorado e exige meses de pesquisa, validação e redação de relatórios. A recompensa financeira pode não existir, mas o reconhecimento e a experiência são valiosos. Kadu também participou de programas de bug bounty em empresas como Departamento de Defesa dos EUA, Red Bull, Adidas e Zurich, além de programas privados no Brasil e na China.
O objetivo de um hacker ético não é invadir para destruir, mas sim ajudar as empresas a corrigirem falhas antes que sejam exploradas por criminosos. Kadu explicou que muitas empresas ainda têm receio de reportagens de vulnerabilidades, temendo manchar a reputação. No entanto, ele acredita que essa visão precisa mudar, pois a segurança é benéfica para todos.
O que é Bug Bounty e Vulnerability Disclosure Program (VDP)
Kadu Zambelli detalhou a diferença entre Bug Bounty e VDP. O Bug Bounty é um programa de recompensas financeiras oferecido por empresas que desejam que pesquisadores encontrem vulnerabilidades em seus sistemas. Já o VDP é um programa de divulgação de vulnerabilidades, que pode ou não oferecer recompensa financeira, mas sempre reconhece o pesquisador.
Existem várias plataformas que gerenciam esses programas, como Hacker One, Bugcrowd e Intigriti. Além disso, algumas empresas mantêm programas próprios em seus sites, com escopo e regras definidas. Kadu explicou que o processo é complexo e exige estudo, dedicação e paciência, pois a concorrência é grande e as empresas já possuem equipes de segurança.
Ele destacou que o bug bounty é uma forma de comprovar tecnicamente a capacidade do profissional, pois ele testa em ambiente real e recebe reconhecimento formal. Isso é um diferencial no currículo, já que nenhuma faculdade ou certificação oferece essa experiência prática.
No entanto, Kadu alertou que muitas empresas brasileiras ainda não participam desses programas por medo de expor falhas. Ele acredita que essa cultura precisa mudar, pois a segurança é um processo contínuo e todos estão sujeitos a vulnerabilidades.
Do Pentágono à PME: Por que qualquer empresa é um alvo em potencial?
Kadu Zambelli enfatizou que qualquer empresa é um alvo em potencial, independentemente do tamanho. Ele explicou que a internet é varrida por robôs e automações que buscam portas abertas e vulnerabilidades. Pequenas e médias empresas (PMEs) muitas vezes negligenciam a segurança por acharem que não são alvos, mas estão enganadas.
Ele citou o exemplo de uma empresa de contabilidade que pode ser invadida e ter todos os seus dados comprometidos. O prejuízo pode ser enorme. Kadu reforçou que a segurança deve nascer junto com o projeto, ou seja, security by design. É preciso pensar em como os dados serão tratados, quem tem permissão, como serão criptografados e onde as chaves ficarão armazenadas.
Além disso, Kadu mencionou que muitas empresas não fazem o básico, como conscientização dos colaboradores. O vetor humano é sempre o primeiro ponto de entrada, seja por engenharia social, e-mails falsos ou WhatsApp. Ele também alertou sobre o risco de insider, ou seja, um funcionário que pode ser corrompido ou vender acesso.
Kadu explicou que a automação de ataques com Inteligência Artificial tornou as coisas mais fáceis para atacantes, mas também para quem sabe o que está fazendo. Ele alertou que a IA pode mascarar o conhecimento, e que é preciso entender o processo para não cair em armadilhas.
Por fim, ele afirmou que todas as empresas precisam passar por testes de segurança pelo menos uma vez por ano, seja com pen test ou red team. O custo de um ataque pode ser muito maior do que o investimento em segurança.
Pensando como o inimigo: O papel do Red Team na infraestrutura real
Kadu Zambelli explicou a diferença entre scan de vulnerabilidade, pen test e red team. O scan de vulnerabilidade é como olhar as portas destravadas, mas não abrir. O pen test abre a porta e vê até onde pode ir. Já o red team quebra a janela se necessário, pois o objetivo é chegar à joia, ou seja, aos dados críticos.
Ele destacou que cada tipo de teste tem seu propósito e que as empresas precisam entender qual é o mais adequado para sua realidade. Um banco de dados crítico, por exemplo, pode exigir um red team completo, com engenharia social e tudo mais. Já uma empresa menor pode começar com um scan de vulnerabilidade e evoluir.
Kadu também abordou o uso de IA na automação de ataques. Ele explicou que a IA pode acelerar processos, mas é preciso ter conhecimento para configurá-la corretamente. Caso contrário, ela pode entrar em loops, ser bloqueada ou causar danos. Ele deu o exemplo de um agente de IA que pode deletar usuários se não for bem configurado.
Além disso, Kadu mencionou que a IA pode ajudar a mascarar a falta de conhecimento, mas isso é prejudicial a longo prazo. Ele recomenda que os profissionais estudem manualmente antes de automatizar, para entender o que estão fazendo.
Por fim, ele reforçou que as empresas precisam contratar profissionais ou serviços especializados para testar sua segurança. O custo de um ataque pode ser muito maior do que o investimento em prevenção.
Formando defensores: A história e o propósito da Comunidade Alquymia
Kadu Zambelli é fundador da Comunidade Alquymia, um projeto que nasceu da necessidade de oferecer suporte e conhecimento acessível para quem quer entrar na área de segurança. Ele explicou que muitos cursos vendem conteúdo sem suporte, e a Alquymia veio preencher essa lacuna.
A comunidade começou com grupos de estudo sobre falhas como SQL Injection, XSS e SSRF, e evoluiu para lives técnicas no YouTube, com mais de 80 episódios. Kadu também promove CTFs (Capture the Flag) e eventos gratuitos em parceria com faculdades.
Ele destacou que a Alquymia é um espaço para aprender, tirar dúvidas e se direcionar. Muitos participantes já mudaram de carreira após assistirem às lives. Kadu acredita que você aprende muito mais quando ensina, e isso é bom para ele e para a comunidade.
Além disso, ele mantém um Instagram com conteúdos técnicos e está sempre disponível para ajudar. Kadu reforçou que o sentimento de estar perdido é normal e faz parte do processo de evolução. Ele mesmo, após 20 anos, ainda se sente assim, e isso o mantém motivado a estudar cada vez mais.
Ao final do episódio, Mirian Fernandes agradeceu a participação de Kadu e destacou a importância da troca de conhecimento. Ela reforçou que os links da Alquymia e das redes sociais de Kadu estarão na descrição do vídeo. E lembrou os ouvintes de deixarem o like e se inscreverem no canal.