Sistemas legados: como reduzir os riscos de segurança da infraestrutura desatualizada

O sistema que ninguém quer tocar

Toda organização com mais de alguns anos de operação carrega sistemas legados: aplicações críticas construídas sobre plataformas antigas, que continuam funcionando, processando transações e sustentando operações essenciais, mas que há muito deixaram de receber atualizações de segurança do fabricante. Ninguém planeja mantê-los por tanto tempo, eles simplesmente se tornam indispensáveis demais para substituir e arriscados demais para modernizar sem interrupção operacional.

O problema é que essa dívida técnica se transforma diretamente em risco de segurança mensurável. Segundo pesquisa da Saritasa de 2025, 62% das organizações ainda operam algum sistema legado, e 43% das equipes de TI responsáveis por eles classificam vulnerabilidades de segurança como sua principal preocupação operacional, mesmo com restrições orçamentárias e medo de causar interrupções mantendo a maioria longe de qualquer ação corretiva. O Verizon DBIR 2025 acrescenta um dado revelador: 68% das violações envolvendo sistemas legados começaram a partir de um componente de terceiros comprometido, expondo como a dívida técnica interna se conecta diretamente ao risco de cadeia de suprimentos.

Por que um sistema sem suporte é uma porta aberta permanente

Quando um software atinge o fim de vida útil declarado pelo fabricante, ele para de receber correções para vulnerabilidades recém-descobertas, mas continua sendo alvo de pesquisa por parte de atacantes. Uma análise de imagens de software em fim de vida constatou que, em média, cada versão acumula 218 novas vulnerabilidades a cada seis meses após o fim do suporte, sem qualquer possibilidade de correção oficial. Esse acúmulo silencioso transforma sistemas legados em superfícies de ataque que só crescem com o tempo, nunca diminuem.

O catálogo de vulnerabilidades exploradas conhecidas (KEV) mantido pela CISA (Cybersecurity and Infrastructure Security Agency dos Estados Unidos) mostra que quase 46% das falhas catalogadas estão associadas a softwares ou sistemas operacionais em fim de suporte. Isso confirma que os atacantes não estão, em sua maioria, caçando vulnerabilidades de dia zero sofisticadas, estão explorando falhas conhecidas há meses ou anos em sistemas que a própria organização já sabia estarem desatualizados.

O caso Log4Shell como estudo de caso permanente

A vulnerabilidade Log4Shell, divulgada no final de 2021 na biblioteca amplamente utilizada Log4j, continua sendo um exemplo instrutivo do problema de sistemas legados. No dia da divulgação, mais da metade das instalações afetadas já rodava versões em fim de suporte, sem qualquer correção oficial disponível, forçando uma corrida por soluções paliativas. Anos depois, sistemas ainda vulneráveis ao Log4Shell em produção são quase exclusivamente ambientes legados, onde a correção exigiria reescrita ou testes extensos que a organização nunca priorizou.

Esse padrão se repete com outras falhas notórias: a exploração da vulnerabilidade CVE-2023-26360 no Adobe ColdFusion, por exemplo, comprometeu duas agências federais dos Estados Unidos justamente porque ambas ainda operavam versões desatualizadas do software. Em nenhum desses casos a causa raiz foi sofisticação do atacante, foi tempo de exposição acumulado em um sistema que ninguém priorizou atualizar.

O custo real de adiar a modernização

A resistência à modernização geralmente se justifica pelo custo imediato do projeto, mas ignora o custo assimétrico de um incidente. Um caso documentado envolveu uma instituição financeira que perdeu a capacidade de processar certos tipos de transação porque seu sistema legado de negociação não conseguia atender a novas exigências regulatórias de auditoria, sem que houvesse qualquer ataque envolvido: a modernização emergencial custou 6,7 milhões de dólares e sete meses de trabalho, período durante o qual transações precisaram ser roteadas por um processador terceirizado a custos muito mais altos.

Análises do setor estimam que o custo real de uma falha de sistema legado, somando resposta a incidente, tempo de inatividade e retrabalho emergencial, costuma ficar entre 10 e 30 vezes maior do que o investimento necessário para uma modernização planejada e proativa. Órgãos governamentais nos Estados Unidos, segundo levantamento da Comparitech, acumularam 26 bilhões de dólares em custos de violações de dados entre 2014 e 2022, afetando 175 milhões de registros em 822 incidentes, grande parte deles ligados à manutenção prolongada de infraestrutura obsoleta.

Um roteiro pragmático de gestão de risco legado

Nem todo sistema legado precisa ser substituído imediatamente, mas todo sistema legado precisa ser gerido de forma deliberada. Quatro passos organizam essa gestão:

• Inventariar e classificar todos os sistemas legados por criticidade de negócio e exposição à internet, priorizando primeiro os que processam dados sensíveis ou estão diretamente acessíveis externamente.
• Aplicar segmentação de rede rigorosa em torno de sistemas que não podem ser modernizados no curto prazo, isolando-os do restante do ambiente para limitar movimentação lateral em caso de comprometimento.
• Implementar controles compensatórios quando a atualização nativa não é viável, incluindo monitoramento reforçado, autenticação adicional e revisão frequente de configuração, seguindo o princípio reconhecido inclusive por normas como a IEC 62443.
• Estabelecer um cronograma público de modernização com prazos definidos, evitando que sistemas críticos sem suporte permaneçam em produção indefinidamente por ausência de decisão formal.

A pergunta não é se o sistema legado será atacado, é quando

Sistemas legados carregam um tipo particular de risco: ele não aparece nas métricas de disponibilidade do dia a dia, porque o sistema continua funcionando normalmente até o momento em que uma vulnerabilidade acumulada é finalmente explorada. Esse silêncio operacional é frequentemente confundido com segurança, quando na verdade é apenas ausência de visibilidade sobre uma exposição que só cresce com o tempo.

Organizações que tratam a modernização como decisão estratégica planejada, com prazos e orçamento definidos, evitam pagar o preço muito mais alto de uma modernização emergencial forçada por um incidente. Adiar essa decisão não elimina o risco, apenas transfere a conta para um momento em que a organização terá muito menos controle sobre como e quando pagá-la.