Monitoramento de credenciais vazadas e exposição digital em um só lugar: 19 verificações não intrusivas por domínio, score de 0 a 100 com nota de A a F e plano de ação passo a passo para Google Workspace ou Microsoft 365 — tudo a partir de fontes públicas.
Plataforma da LC SEC · Login SSO Google ou Microsoft, sem senhas armazenadas · Ambiente isolado por empresa · PT/EN
Credenciais corporativas vazam em brechas de sites de terceiros e vão parar em bases criminosas. Uma senha vazada combinada com um e-mail mal configurado é um convite para invasão de conta e fraude — e, sem monitoramento, ninguém fica sabendo até o prejuízo aparecer.
SPF, DMARC e DKIM são registros que dizem ao mundo quais servidores podem enviar e-mail em nome da sua empresa. Quando estão errados ou ausentes, criminosos conseguem se passar por você — é assim que nascem o golpe do boleto e a fraude do CEO. E quase ninguém sabe como está a própria configuração.
Backups e arquivos de configuração com senhas esquecidos no site, certificados prestes a vencer, subdomínios antigos que ninguém desligou: cada item desses amplia a sua superfície de ataque — a soma de tudo que está exposto na internet — sem que ninguém esteja acompanhando.
Você cadastra seus domínios com comprovação de propriedade — o link de validação só pode ser confirmado por um e-mail do próprio domínio — e o Orbisec roda um diagnóstico não intrusivo de 19 verificações. Tudo parte de informação pública, sem tocar na sua infraestrutura: é a mesma visão que um atacante teria, colocada a serviço da defesa.
O resultado é um score de 0 a 100 com nota de A a F por domínio, com resumo de itens aprovados, alertas e falhas e severidade em cada achado. O Radar de Exposição consolida o que mais dói: contas vazadas (separando funcionários de clientes), riscos na configuração de e-mail e um plano de ação específico para o seu provedor — Google Workspace ou Microsoft 365.
E a análise de exposição digital não para no seu domínio: o módulo acompanha as páginas de status públicas dos seus fornecedores críticos a cada 30 minutos e, em incidente grave, abre tarefa automaticamente no ClickUp, atualiza com os comunicados e fecha quando o incidente é resolvido. Quando uma ameaça crítica bate com um fornecedor seu, o risco correspondente é criado automaticamente — com alertas por e-mail e no sistema.
Configuração de e-mail, certificado TLS (com alerta antes de expirar), cabeçalhos de segurança (headers) do site, detecção de WAF/CDN, subdomínios descobertos via logs públicos de certificados, tecnologias do site com versões expostas e dados de registro do domínio — tudo a partir de fontes públicas.
Cada domínio recebe uma nota objetiva, com resumo de itens aprovados, alertas e falhas e severidade por achado. A pergunta "quão expostos estamos?" passa a ter uma resposta simples de acompanhar e de apresentar à diretoria.
Verifica SPF, DMARC, DKIM, DNSSEC, MTA-STS, TLS-RPT e MX — os registros que definem quem pode enviar e-mail em nome do seu domínio e se as mensagens trafegam protegidas. Configuração errada aqui é a porta de entrada do golpe do boleto e da fraude do CEO.
Busca contas do seu domínio em bases de credenciais vazadas (DeHashed) e em vazamentos de dados (breaches) catalogados pelo Have I Been Pwned, separando funcionários de clientes, contas com e sem senha exposta e vazamentos recentes.
Consolida, por domínio, o que mais dói: total de contas vazadas, provedor de e-mail detectado, vazamentos conhecidos e riscos de configuração de e-mail — um retrato da sua exposição digital pronto para levar à reunião, exportável para Excel.
Não é só relatório de problema: o Radar de Exposição entrega um plano de resposta passo a passo para o seu provedor de e-mail, dizendo o que ajustar no painel de administração do Google Workspace ou do Microsoft 365.
Testa 26 caminhos sensíveis no seu site (arquivos .env, backups, .git), roda 11 buscas de vazamento no Google (dorks) e procura exposição em GitHub, GitLab e Bitbucket — além de correlacionar o servidor com CVEs recentes (NVD), o catálogo público de vulnerabilidades conhecidas.
E-mails aparecem sempre mascarados na tela e a senha vazada só é consultada ao vivo, sob demanda — nunca é armazenada nem registrada. O objetivo é forçar a troca da senha, não colecionar dados sensíveis: um argumento forte para a LGPD.
Acompanha as páginas de status públicas de fornecedores como Atlassian Statuspage, Google Cloud, AWS e Stripe. Em incidente grave, abre tarefa automaticamente no ClickUp, atualiza com os comunicados e fecha quando resolver — com painel de incidentes dos últimos 12 meses.
Só quem prova que é dono do domínio consegue analisá-lo: o link de validação do cadastro só pode ser confirmado por um e-mail do próprio domínio. E, como cada cliente tem um ambiente isolado na plataforma, sua exposição não fica visível para curiosos.
O diagnóstico usa somente fontes públicas e não toca na sua infraestrutura — zero intrusão. Dá para rodar sem medo, sem janela de manutenção e sem pedir autorização especial ao time de infra.
Apontar a falha é fácil; o difícil é corrigir. O plano de resposta do Radar de Exposição diz, passo a passo, o que ajustar no painel de administração do Google Workspace ou do Microsoft 365 — mesmo um time enxuto de TI consegue executar.
E-mails mascarados por padrão e senha nunca armazenada nem registrada: a plataforma trata dado vazado como o que ele é — informação sensível. Um cuidado que pesa a favor da sua empresa na conformidade com a LGPD.
Para qualquer empresa com domínio próprio e e-mail corporativo — especialmente times enxutos de TI e segurança que não têm uma ferramenta de análise de superfície de ataque. O Threat Intel roda sobre a base comum do Orbisec: ambiente multi-empresa, login corporativo com SSO Google ou Microsoft (sem senhas armazenadas), interface bilíngue em português e inglês, alertas por e-mail e no sistema e trilha de auditoria de toda a atividade.
Senhas corporativas costumam vazar em brechas de sites de terceiros onde funcionários usaram o e-mail da empresa, e acabam em bases criminosas. A forma prática de descobrir é consultar bases de vazamentos conhecidas a partir do seu domínio. O Threat Intel do Orbisec faz isso automaticamente: busca contas do domínio em bases de credenciais vazadas (DeHashed) e em vazamentos catalogados pelo Have I Been Pwned, separando funcionários de clientes e destacando vazamentos recentes — com os e-mails sempre mascarados na tela.
São registros publicados no DNS do seu domínio que dizem ao mundo quais servidores podem enviar e-mail em seu nome e como validar a autenticidade das mensagens. Quando estão ausentes ou mal configurados, criminosos conseguem enviar e-mails que parecem legítimos da sua empresa — é a base do golpe do boleto e da fraude do CEO. O Threat Intel verifica SPF, DMARC, DKIM, DNSSEC, MTA-STS, TLS-RPT e MX e aponta exatamente o que corrigir.
É o mapeamento de tudo que a sua empresa expõe na internet e que um atacante poderia usar: subdomínios, certificados, arquivos acessíveis, tecnologias visíveis, configurações de e-mail e credenciais vazadas. A ideia é enxergar a empresa de fora para dentro, como um invasor faria, e corrigir antes que alguém explore. No Orbisec, esse mapeamento vira um diagnóstico de 19 verificações com score de 0 a 100 por domínio.
O diagnóstico do Threat Intel, não: ele é não intrusivo e usa apenas informação pública — não toca na sua infraestrutura nem tenta invadir nada. Por isso pode ser executado sem janela de manutenção e sem autorização especial do time de infra. A única exigência é comprovar a propriedade do domínio: o link de validação só pode ser confirmado por um e-mail do próprio domínio.
Cada domínio cadastrado passa por 19 verificações — de configuração de e-mail a arquivos expostos e credenciais vazadas — e cada item é classificado como aprovado, alerta ou falha, com severidade. O conjunto vira um score de 0 a 100 com nota de A a F: um número simples para acompanhar a evolução da sua postura de segurança e apresentar à diretoria.
Dado vazado continua sendo dado pessoal, e o tratamento precisa seguir princípios da LGPD como necessidade e segurança. Por isso o Threat Intel adota privacidade por padrão: os e-mails aparecem sempre mascarados na tela, e a senha vazada só é consultada ao vivo, sob demanda — nunca é armazenada nem registrada. O objetivo é um só: confirmar a exposição para forçar a troca da senha.
Gestão do ciclo de vida do pentest, do teste ao laudo verificável.
BACEN, CVM, SUSEP e ANPD monitorados todos os dias, com triagem por IA.
ISO 27001, SOC 2 e auditorias com score em tempo real — sem planilha.
Sua página pública de segurança e conformidade, com NDA e aprovação.
Relacionado na LC SEC: conheça também o serviço de Threat Intelligence da LC SEC e o Diagnóstico gratuito de segurança do seu domínio.
Fale com um especialista da LC SEC e veja como o módulo se encaixa na sua operação — sem compromisso.
Agende uma demonstração Rode um diagnóstico gratuito do seu domínio
