Os 3 tipos de Pentest: White Box, Gray Box e Black Box

Resumo:

• Black box simula um atacante externo sem nenhuma informação prévia sobre o sistema. É o formato mais realista para testar o perímetro e a capacidade de detecção.
• Gray box combina acesso parcial ao sistema com o ponto de vista de um atacante com informação limitada, como um usuário interno. É o tipo mais utilizado na prática: 55,9% dos pentests executados pela Vantico em 2025 foram gray box.
• White box oferece acesso total ao código-fonte e à arquitetura, permitindo a análise mais profunda e completa. Indicado para auditorias técnicas detalhadas e processos de M&A.
• A escolha entre as modalidades depende do objetivo do teste, do perfil da empresa e dos requisitos de compliance envolvidos.

O Pentest pode ser utilizado em diversos contextos, como em aplicações web, mobile ou APIs, e para vários fins, como compliance e merge & acquisitions (fusão e aquisição), por exemplo. Mas, dentro desses contextos e finalidades, existem 3 tipos de Pentest.  

De forma geral, essas três categorias determinam qual é o tipo de acesso que o pentester (profissional que está realizando o teste) terá durante a sua execução. 

Vamos entender um pouco melhor? 

Tipos de Pentest 

Como já mencionamos em outros artigos, um ataque cibernético pode ter diversas origens. 

Ele pode vir de dentro da empresa, ou seja, de uma pessoa ou organização com algum tipo de acesso privilegiado. Ou de forma externa, procurando falhas e vulnerabilidades que podem ser exploradas no sistema. 

Cada uma dessas origens representa um tipo diferente de ameaça, além de terem níveis de complexidade bem diferentes.  

Um ataque interno, por exemplo, possivelmente será mais fácil e rápido, além de mais comprometedor. O externo, por outro lado, envolve maior estudo e tempo, por isso muitas vezes é identificado pelos procedimentos de resposta a incidentes. 

Ao realizar um Pentest, é preciso levar tudo isso em consideração.  

Portanto, para cobrir cada um desses cenários, existem 3 tipos de pentest: Black Box, White Box e Gray Box. 

Imagem: Pentest White Box, Gray Box e Black Box. 

Black Box 

O Pentest Black Box é aquele em que o(s) pentester(s) envolvido(s) não terá nenhum ou quase nenhum tipo de informação sobre o alvo – como o diagrama de arquitetura ou código-fonte (a menos que eles estejam disponíveis publicamente). 

Por conta disso, o profissional assume o papel de um ataque externo, em que o criminoso não tem nenhum tipo de acesso ou dado privilegiado. Dessa forma, devem ser usadas diversas metodologias e abordagens para encontrar uma ou mais vulnerabilidades no sistema. 

O ponto negativo desse tipo de teste é que, caso o pentester não consiga realizar a invasão, pode ser que uma vulnerabilidade fique “escondida”, deixando de ser identificada e mantendo certo risco para a empresa. 

Por outro lado, já que a ameaça vem de fora, o Pentest Black Box também demonstra a rapidez e eficácia dos procedimentos de resposta a incidentes. 

White Box 

Já o Pentest White Box é o total oposto. Aqui, o pentester terá acesso a diversas informações e acessos privilegiados – como o código fonte do sistema e documentação sobre a sua infraestrutura –, o que torna o teste mais profundo e completo. 

Uma desvantagem é que, por conta do volume de informações, o teste pode levar um pouco mais de tempo do que os outros. Entretanto, o Pentest White Box tem uma boa cobertura e, com ele, a maioria das vulnerabilidades é identificada. 

Esse tipo de teste também é muito usado quando uma aplicação ainda está em fase de testes. 

Gray Box 

O Pentest Gray Box, como o nome sugere, é um meio-termo entre o White Box e o Black Box. Nele, o pentester terá acesso parcial a informações, ou seja, é como se ele tivesse o mesmo tipo de acesso que um usuário padrão do sistema. 

Algumas informações, como sobre a infraestrutura, são disponibilizadas, mas é necessário que o profissional as explore ativamente. 

O Gray Box é muito comum principalmente em Pentest para aplicações Web, e normalmente foca em aspectos específicos da rede. 

O que os dados reais mostram: gray box é o mais escolhido

Na prática, a escolha entre os tipos de pentest não é apenas teórica. Segundo o Inside Pentesting 2026, relatório da Vantico com base nos projetos executados ao longo de 2025, o gray box foi o tipo mais utilizado: 55,9% dos pentests realizados adotaram essa modalidade, contra 44,1% de black box.

O white box não apareceu nos projetos analisados — o que reflete um padrão comum no mercado: a maioria das empresas busca um equilíbrio entre profundidade técnica e simulação realista de um ataque externo, e o gray box entrega exatamente isso.

Esses dados vêm dos projetos reais executados pela Vantico em 2025 e são publicados anualmente no Inside Pentesting, o relatório de inteligência ofensiva da empresa

Qual modalidade é ideal para o seu caso?

A escolha entre black box, gray box e white box depende do objetivo do teste, do perfil da empresa e do que está em jogo. Use o guia abaixo como referência:

Se você é uma startup ou empresa em fase inicial de segurança:

• Recomendado: gray box
• Por quê: equilibra custo, profundidade e resultado acionável. Com acesso parcial ao sistema, o pentester encontra mais falhas em menos tempo — útil para equipes com recursos limitados que precisam priorizar correções.

Se você precisa cumprir um requisito de compliance (PCI DSS, BCB 538, ISO 27001):

• Recomendado: gray box ou black box, dependendo do framework
• Por que: o PCI DSS Requisito 11.3, por exemplo, exige tanto testes externos (equivalentes ao black box) quanto internos (equivalentes ao gray box). Verifique o que o seu auditor ou QSA exige especificamente.

Se você quer simular um ataque real de fora da empresa:

• Recomendado: black box
• Por que: sem informações prévias, o teste replica o ponto de vista de um atacante que nunca teve acesso ao sistema. Ideal para medir a resistência do perímetro e a eficiência do time de detecção.

Se você quer a análise mais completa possível (auditoria profunda ou M&A):

• Recomendado: white box
• Por que: com acesso total ao código-fonte e à arquitetura, o pentester pode identificar falhas que nenhum teste externo encontraria. É mais demorado e custoso, mas oferece a cobertura mais ampla.

Não sabe qual escolher para o seu cenário específico? Fale com a nossa equipe de pentesters e encontre a opção mais indicada para o seu caso.  

Clique aqui para conhecer o trabalho da Vantico com o Pentest as a Service! 

FAQ: Perguntas frequentes sobre tipos de Pentest

01. Qual é a diferença entre black box, gray box e white box?

A diferença está no nível de acesso e informação que o pentester recebe antes e durante o teste. No black box, o profissional não recebe nenhuma informação prévia sobre o ambiente, mas simula um atacante externo. No gray box, recebe acesso parcial, como credenciais de usuário comum ou informações limitadas de infraestrutura. No white box, tem acesso total: código-fonte, documentação de arquitetura e credenciais privilegiadas. Quanto mais informação, mais profundo e completo tende a ser o teste.

02. Qual tipo de pentest é mais recomendado?

Depende do objetivo. Para simular um ataque externo realista e testar a capacidade de detecção, o black box é o mais indicado. Para equilibrar profundidade e realismo com custo e tempo, o gray box costuma ser a melhor escolha: segundo o Inside Pentesting 2026, relatório da Vantico com base nos projetos executados em 2025, 55,9% dos pentests realizados foram gray box. Para auditorias técnicas profundas ou revisão completa de código, o white box oferece a maior cobertura.

03. O pentest black box é melhor porque simula um ataque real?

Não necessariamente. O black box simula o ponto de vista de um atacante externo, o que é valioso, mas tem uma limitação importante: se o pentester não conseguir explorar uma vulnerabilidade dentro do escopo e prazo definidos, ela pode não ser identificada. O gray box reduz esse risco ao fornecer contexto suficiente para o profissional focar as áreas mais críticas sem perder o realismo do teste.

04. Quanto tempo leva cada tipo de pentest?

O prazo varia conforme o escopo, a complexidade do ambiente e o tipo de teste. Em geral, o black box tende a ser mais longo, pois exige maior esforço de reconhecimento. O white box pode ser o mais demorado de todos por conta do volume de informação analisada, mas também o mais eficiente em cobertura. O gray box costuma oferecer o melhor equilíbrio entre profundidade e prazo. Projetos da Vantico, por exemplo, podem ser concluídos em 21 dias dependendo do escopo.

05. Qual tipo de pentest é exigido para compliance?

Depende do framework. O PCI DSS 4.0, por exemplo, exige tanto testes externos (equivalentes ao black box, cobrindo o perímetro) quanto testes internos (equivalentes ao gray box, cobrindo o ambiente interno e o CDE). As resoluções BCB 538/2025 e CMN 5.274/2025 do Banco Central exigem pentest anual por profissional independente, sem especificar a modalidade, o que torna o gray box a escolha mais comum por cobrir tanto vetores internos quanto externos. Para a ISO 27001, o framework indica pentest como controle de segurança, mas deixa a metodologia a critério da organização.

06. É possível combinar mais de um tipo de pentest no mesmo projeto?

Sim, e é uma prática comum em escopos mais amplos. Uma empresa pode contratar um black box para testar o perímetro externo e um gray box para avaliar o ambiente interno na mesma rodada de testes. Alguns projetos também começam como black box e evoluem para gray box quando o pentester encontra um ponto de entrada, permitindo explorar o ambiente com mais profundidade a partir desse vetor.