- Phishing / Smishing – Páginas de login falsas. Mitigação: DMARC, educação do usuário, passkeys.
- Malware / Magecart – Skimmers no checkout. Mitigação: CSP, Subresource Integrity, varreduras regulares.
- Trânsito Não Criptografado – HTTP ou TLS 1.0. Mitigação: HSTS, TLS 1.2+, monitoramento de certificado.
- Autenticação Fraca – Credential stuffing. Mitigação: MFA (WebAuthn/FIDO2), rate limiting, monitoramento de vazamentos.
- Man-in-the-Middle – Wi-Fi malicioso, sequestro BGP. Mitigação: Certificate pinning, HPKP (obsoleto), DNSSEC.
- DDoS – Camada volumétrica/aplicação. Mitigação: WAF + CDN (Cloudflare, Akamai), auto-scaling.
- Escuta – APIs não criptografadas. Mitigação: mTLS, criptografia em repouso.
- Vazamento de Terceiros – Gateway de pagamento, analytics. Mitigação: Gestão de risco de fornecedores, PCI DSS SAQ, tokenização.
- Ataque à Cadeia de Suprimentos – Pacote npm/PyPI comprometido. Mitigação: SBOM, pinning de dependências, ferramentas SCA.
- Fraude Amigável / Chargebacks – "Item não recebido". Mitigação: 3DS2, AVS, descritores claros, prova de entrega.
Monitoramento contínuo (SIEM), pentest e programas de bug bounty completam a defesa em profundidade.
