Comparativo de 12 empresas de pentest no Brasil (Tempest, Redbelt, Conviso, HackerSec, Blaze, Clavis, ISH, Vantico, No Vuln, berghem, Desec, LC Sec) por sede, metodologia, certificações, reteste, plataforma e preço, com fontes.
Doze empresas de pentest comparadas apenas por informações públicas dos próprios sites (consulta em 07/10/2026): sede, foco, metodologia, certificações, reteste, plataforma e preço. Sem ranking. Duas publicam preço; cinco não nomeiam metodologia; a maior parte não nomeia certificações individuais da equipe.
Transparência: este comparativo é publicado pela LC Sec, que aparece na lista. Para reduzir o viés, aplicamos a todas as empresas — inclusive à LC Sec — os mesmos critérios, usando apenas o que cada site oficial informa, e não atribuímos nota nem posição.
Os dados sobre cada empresa foram lidos nos sites oficiais em 07/10/2026 e refletem apenas o que cada uma publica; podem mudar a qualquer momento. "Não informado no site" significa só isso, não que o serviço não exista.
Para escolher uma empresa de pentest no Brasil, compare o que cada fornecedor declara sobre escopo, metodologia, certificações, reteste e forma de entrega — e desconfie de qualquer lista que ordene empresas sem dizer de onde vieram os dados. Abaixo, doze empresas que aparecem com frequência em buscas sobre pentest no país, lado a lado, com a fonte de cada informação.
Se já leu nosso guia sobre como escolher uma empresa de pentest ou sobre quanto custa um pentest, este artigo é a etapa seguinte: a comparação concreta.
Este artigo não elege a "melhor" empresa de pentest. Ele organiza, em uma única tabela, o que doze empresas brasileiras (ou com operação no Brasil) declaram publicamente sobre o próprio serviço: onde ficam, que tipos de teste oferecem, quais metodologias citam, quais certificações anunciam, se incluem reteste, se operam uma plataforma e se divulgam preço.
A lógica é simples: se uma empresa afirma algo no próprio site, ela pode ser cobrada por isso em proposta e contrato. Se não afirma, o comprador precisa perguntar. Em todos os casos em que o site não trazia o dado, registramos "não informado no site" em vez de completar com suposição.
Para quem precisa decidir rápido: compare primeiro metodologia declarada, reteste incluso e certificações nomeadas. São os três critérios em que as respostas mais variam entre as empresas da lista.
| Empresa | Sede | Foco de pentest declarado | Metodologia declarada | Certificações declaradas | Reteste | PTaaS / plataforma | Publica faixa de preço |
|---|---|---|---|---|---|---|---|
| Tempest | Recife/PE e São Paulo/SP (sede não designada) | Web, mobile, APIs, redes; red team | Não informado (declara 80% manual / 20% automatizado; CVSS/CWE) | não informado no site | Sim, como opcional contratado | Prospero (relatório em tempo real) | Não |
| Redbelt Security | São Paulo/SP | Pentest externo, interno, mobile, OT/IoT; red team | não informado no site | não informado no site | não informado no site | RIS (SaaS próprio; módulo de teste automatizado) | Não |
| Conviso | Não informado (remote first) | Web/API, mobile, rede e cloud, IoT/OT, IA; red team | OWASP, MITRE ATT&CK, NIST, PCI DSS | Empresa: ISO 27001 e ISO/IEC 20000-1; equipe: não nomeadas | Sim, sem custo adicional | Conviso Platform (ASPM) | Pentest: não; plataforma: sim |
| HackerSec | São Paulo/SP | Web, APIs, mobile, cloud, rede externa/interna, IoT, IA/LLM | OWASP Testing Guide, PTES, MITRE ATT&CK, NIST CSF | não informado no site | Sim, incluso ("reteste em um clique") | HAS (declarada como PTaaS) + agente Yaga | Não |
| Blaze Information Security | Berlim (DE); escritório em Recife/PE | Web, API, mobile, cloud, rede, IA/LLM; red team | OWASP Top 10/ASVS/MASVS, PTES, NIST SP 800-115, MITRE ATT&CK | Empresa: CREST, ISO 27001, SOC 2; equipe: OSCP, OSCE, OSWE, OSEP, OSED | Sim (validação de correções em 90 dias nos planos superiores) | Blaze Portal (PTaaS) | Sim (em dólar, por pacote) |
| Clavis | Rio de Janeiro/RJ | Redes e sistemas, web, wireless, mobile, nuvem | NIST 800-115, OWASP, OSSTMM, ISSAF | Empresa: ISO 27001, ISO 27701; equipe: não nomeadas | não informado no site | Não informado como PTaaS (Plataforma Clavis / SIEM) | Não |
| ISH Tecnologia | Vitória/ES | Web, infraestrutura, mobile; CART e BAS (foco em setor público após cisão) | não informado no site | Empresa: ISO 27001, ISO 20000, ISO 9001; equipe: não nomeadas | não informado no site | Não informado como PTaaS (ISH Vision) | Não |
| Vantico | São Paulo/SP | Web, API, mobile, rede, cloud, IA, thick client; red team | OWASP (Top 10, WSTG, API Top 10), PTES, OSSTMM, NIST, MITRE ATT&CK | Equipe: OSCP, OSWE, OSEP, OSCE, CEH, GPEN, PNPT, CRTP e outras | Sim, gratuito por 90 dias | Plataforma de Pentest Vantico | Não |
| No Vuln | Não informado (CNPJ e DDD 11 no rodapé) | Web, APIs, mobile, autenticação, cloud (misconfigurações) | OWASP Top 10 / API Top 10 + metodologia própria | não informado no site | Sim, incluso (30 a 90 dias conforme pacote) | Modelo declarado como PTaaS; nome da plataforma não informado | Sim (em reais, por pacote) |
| berghem | São Paulo/SP (subsidiária na Itália) | Web/API, mobile, rede/AD, cloud, IoT, meios de pagamento, IA; red team | OWASP (Top 10, ASVS, API, MASVS), NIST SP 800-115, PTES, OSSTMM, MITRE ATT&CK | Empresa: ISO 27001; liderança: CISSP, CISM | Sim (1 a ilimitados, conforme nível Silver/Gold/Diamond) | Berghem Agents | Não |
| Desec Security | São Paulo/SP | Externo, interno/rede, web/API, mobile, wireless; red team; bug bounty privado | Não informado (cita "metodologia do Spartan Team") | Equipe: DCPT (certificação própria da Desec) | não informado no site | DNGP – Desec Next Generation Pentest | Não |
| LC Sec | São Paulo/SP | Redes, web, APIs, mobile (blackbox, greybox e whitebox) | Não nomeada no site; referências declaradas: ISO 27001, CIS Controls, PCI DSS, LGPD | não informado no site | Sim (reteste via OrbiSec Pentest Hub) | OrbiSec (hub; execução pela equipe) | Não (varia conforme escopo) |
Ordem da tabela: sem ranking. "Não informado no site" significa que o dado não constava nas páginas consultadas em 07/10/2026 — não que a empresa não o possua.
Propostas de pentest costumam chegar com formatos diferentes, o que dificulta a comparação direta. Os critérios abaixo são objetivos e podem ser verificados antes da assinatura.
Os parágrafos seguem a ordem da tabela. Cada afirmação remete às páginas listadas na seção de fontes.
Fundada em 2000, com escritórios em Recife e São Paulo (o site não designa a sede) e presença em Londres. A página de pentest cita aplicações web, mobile, APIs e redes, além de red team, vulnerability assessment e simulação de APT. Declara abordagem "80% manual, 20% automatizada", relatório com CVSS e CWE e visualização por meio da plataforma Prospero. A validação de correções é oferecida "se contratada". Não nomeia metodologias (OWASP, PTES, NIST), certificações da equipe nem preço.
Fundada em 2009, sede em São Paulo (Brooklin). Em segurança ofensiva lista red team, pentest externo, interno, mobile e OT/IoT, testes de phishing e engenharia social. Mantém a plataforma própria RIS, cuja versão 3.0 inclui ferramenta automatizada de testes de vulnerabilidade. Nas páginas consultadas não há menção a metodologias, certificações da equipe, reteste ou preço.
Fundada em 2008, declara-se "remote first" e não informa cidade-sede. O pentest cobre web e API, mobile, rede e cloud, IoT/OT, modelos de IA e red team, com modalidades black, gray e white box descritas na página. Cita OWASP, MITRE ATT&CK, NIST e PCI DSS como referências. A empresa anuncia certificações ISO 27001 e ISO/IEC 20000-1; certificações individuais da equipe não são nomeadas. O reteste é descrito como incluso sem custo adicional. Os achados são integrados à Conviso Platform (ASPM), que tem preço público — o serviço de pentest em si não.
Fundada em 2011, sediada em São Paulo, com escritório em Boston. Oferece pentest em web, APIs (REST/GraphQL), mobile, cloud, rede externa e interna, IoT e IA/LLM, combinando o agente de IA Yaga com validação humana. Cita OWASP Testing Guide, PTES, MITRE ATT&CK e NIST CSF. Opera a plataforma HAS, apresentada explicitamente como PTaaS, com reteste "em um clique" incluso. Certificações da equipe e preço não aparecem nas páginas consultadas.
Fundada em 2016, sede em Berlim e escritórios em Porto e Recife. O site descreve modalidades black, grey e white box; cita as metodologias OWASP Top 10/ASVS/MASVS, PTES, NIST SP 800-115 e MITRE ATT&CK; anuncia certificações CREST, ISO 27001 e SOC 2 da empresa e OSCP, OSCE, OSWE, OSEP e OSED da equipe. Publica tabela de preços em dólar, por pacote, com validação de correções em 90 dias nos planos superiores, e opera o Blaze Portal como PTaaS.
Sediada no Rio de Janeiro, com atuação "há mais de 20 anos" (ano exato não informado). O teste de invasão abrange redes e sistemas, aplicações web, redes sem fio, mobile e nuvem, nas modalidades caixa preta e caixa branca. Cita NIST 800-115, OWASP, OSSTMM e ISSAF. A empresa anuncia ISO 27001 e ISO 27701, entre outras credenciais institucionais; certificações da equipe não são nomeadas. Reteste, PTaaS e preço não constam nas páginas consultadas.
Fundada em 1996, sede em Vitória (ES). O site informa uma cisão que originou a Vision Cybersecurity para o setor privado, ficando a ISH dedicada ao setor público. Lista pentest em aplicações web, infraestrutura e mobile, além de CART (red team automatizado contínuo) e BAS. Anuncia ISO 27001, ISO 20000 e ISO 9001 como certificações da empresa. Não há página dedicada de pentest; metodologias, certificações da equipe, reteste e preço não são informados.
Sede em São Paulo (Av. Paulista); o site fala em "5 anos dedicados à segurança ofensiva", sem ano de fundação. Cobre web, API, mobile, rede interna/externa, cloud, sistemas de IA, thick client e red team, com black, gray e white box descritos. Cita OWASP (Top 10, WSTG, API Top 10), PTES, OSSTMM, NIST e MITRE ATT&CK. Nomeia certificações da equipe (OSCP, OSWE, OSEP, OSCE, CEH, GPEN, PNPT, CRTP e outras). Reteste gratuito por 90 dias e plataforma própria de acompanhamento. Não publica preço.
Não informa cidade-sede nem ano de fundação (o rodapé traz CNPJ e telefone com DDD 11). Foco em web, APIs, mobile, autenticação e configurações de cloud, com testes blackbox e whitebox. Cita OWASP Top 10 e API Top 10 e uma metodologia própria. Publica preço em reais, por pacote, e descreve o modelo como PTaaS com reteste incluso de 30 a 90 dias. Não nomeia certificações da equipe nem a plataforma.
Fundada em 2003 (origem no LSI-TEC/USP), sede em São Paulo e subsidiária na Itália. O serviço de pentest ("EHT") cobre web/API, mobile, rede e Active Directory, cloud, IoT, meios de pagamento e IA, em níveis Silver, Gold e Diamond com prazos e número de retestes declarados. Cita OWASP (Top 10, ASVS, API, MASVS), NIST SP 800-115, PTES, OSSTMM e MITRE ATT&CK. Anuncia ISO 27001 na empresa e CISSP/CISM na liderança. Mantém a plataforma Berghem Agents. Não publica preço.
Sede em São Paulo (Vila Olímpia); a linha do tempo do site começa em 2015. Lista pentest externo, interno/rede, web/API, mobile, wireless, red team, bug bounty privado e phishing. A equipe ("Spartan Team") é descrita com a certificação DCPT, emitida pela própria Desec; outras certificações não são nomeadas. Não cita metodologias públicas, descrevendo "metodologia do Spartan Team". Opera a plataforma DNGP para acompanhamento dos achados. Reteste e preço não são informados.
Consultoria sediada em São Paulo (Pinheiros), CNPJ 43.372.384/0001-86, e editora deste comparativo. Oferece pentest blackbox, greybox e whitebox em redes, aplicações web, APIs e mobile, com relatório técnico e executivo e plano de correção, prazo declarado de 5 a 15 dias úteis e referências a ISO 27001, CIS Controls, PCI DSS e LGPD. O fundador declara 12 anos de experiência. O reteste é citado na home como parte do OrbiSec Pentest Hub, plataforma própria em que o teste segue executado pela equipe. Pelo mesmo critério aplicado às demais: a página de pentest não nomeia metodologia (OWASP, PTES) nem certificações individuais da equipe, e não publica preço.
Compare escopo explícito, modalidade (blackbox, greybox, whitebox), metodologia nomeada (OWASP, PTES, NIST SP 800-115), proporção de teste manual, formato do relatório, reteste incluso e certificações declaradas da equipe e da empresa. Peça um relatório-modelo anonimizado antes de fechar.
Entre as doze analisadas em 07/10/2026, apenas Blaze Information Security (em dólar, por pacote) e No Vuln (em reais, por pacote) publicam faixas de preço do serviço de pentest. A Conviso publica preço da plataforma, não do pentest. As demais não publicam preço do serviço no site.
Depende do fornecedor. Conviso, HackerSec, Vantico, No Vuln, berghem e Blaze declaram reteste incluso (com prazos de 30 a 90 dias ou por nível de plano); a Tempest o oferece como item contratado; a LC Sec o cita via OrbiSec Pentest Hub; Redbelt, Clavis, ISH e Desec não informam no site.
Pentest é o serviço de teste de intrusão, geralmente pontual. PTaaS (Pentest as a Service) é o modelo em que os achados, o reteste e a comunicação com os testadores acontecem em uma plataforma contínua. Na lista, HackerSec, Blaze e No Vuln usam o termo PTaaS; outras mantêm plataformas sem usar essa denominação.
Os poucos prazos publicados variam: a LC Sec declara 5 a 15 dias úteis; a berghem, de 2 a 6 semanas conforme o nível. A maioria das empresas não publica prazo, pois ele depende do número de ativos e da modalidade.
Todas as páginas abaixo foram consultadas em 07/10/2026. Apenas os sites oficiais das empresas foram usados; nenhuma informação veio de listas de terceiros, redes sociais ou conhecimento prévio.
Encontrou um dado desatualizado sobre a sua empresa? Escreva para contato@lcsec.io; corrigimos ou removemos a linha em até 5 dias úteis. Próxima revisão prevista: janeiro/2027.
A LC Sec envia escopo, modalidade, prazo e formato de relatório por escrito antes de qualquer contratação, para que você aplique os critérios deste artigo.
Conheça: Pentest, OrbiSec, Gestão de Segurança da Informação.