Como a Tucafi validou seu CRM em um único ciclo e sustenta a remediação de seus sistemas críticos sem parar a operação

Sobre a Tucafi

A Tucafi é uma financeira mexicana que oferece crédito e serviços financeiros para empreendedores, comerciantes e microempresários. Toda a sua operação de crédito roda sobre sistemas em produção: um core financeiro, um CRM e um aplicativo de contratos e assinaturas digitais usado por seus assessores.

• Setor: Serviços financeiros
• Produto: Soluções de crédito, operadas sobre um core financeiro, um CRM e um app de contratos e assinaturas digitais usado por seus assessores

Contexto e desafios

Para a Tucafi, a segurança não pode ser pensada separada da operação. Seus sistemas de crédito e seu core financeiro estão totalmente em produção: qualquer mudança neles impacta diretamente o negócio. Por isso, cada achado de segurança traz uma segunda pergunta tão importante quanto a primeira: como corrigi-lo sem interromper o que está funcionando.

"O projeto realmente está totalmente em produção, e fazer qualquer mudança repercute na parte operacional. Por isso temos muito cuidado ao fazer qualquer alteração nesse sistema."
Equipe Tucafi

Em 2025, depois de avaliar três fornecedores de segurança ofensiva, a equipe escolheu a Strike. Pela qualidade do serviço e, sobretudo, pela forma de trabalhar: uma lógica próxima à de um ataque real, com uma abordagem ética que lhes deu confiança para abrir seus ativos mais sensíveis.

"Vocês estão entre os mais éticos e entre os que trabalham exatamente como se fosse um hack de verdade."
Equipe Tucafi

Depois de validar seu core financeiro, a Tucafi decidiu partir para o CRM, um dos sistemas de maior operação da empresa, enquanto avança em paralelo com a migração desse core.

‍

Trabalhando com a Strike

[01] Um exercício concluído antes do esperado

A primeira coisa que a equipe da Tucafi destacou foi o tempo. O CRM foi avaliado por completo em um único ciclo, e o exercício foi concluído muito mais rápido do que com o modelo com que trabalhavam antes.

Parte dessa velocidade se explica pela IA. No modelo da Strike, a Validação Híbrida Contínua combina Threat Emulation potencializada por IA com uma equipe especializada que valida cada achado antes que ele chegue ao cliente: a IA acelera a cobertura e o critério humano define o que é real e o que importa.

"Com a atualização da inteligência artificial ajudou bastante a agilizar os processos."
Equipe Tucafi

O fato de a Tucafi ter adotado esse modelo sem atritos não é um detalhe menor: a empresa também está explorando seus próprios projetos de inteligência artificial, e encontrou na Strike uma solução alinhada à sua agenda tecnológica.

O resultado: Mais velocidade, sem perder profundidade.

[02] Uma migração de plataforma sem complicações

No último ano, a Strike deu um salto em seu modelo: passou de avaliações de segurança organizadas por projeto para uma plataforma de Validação Híbrida Contínua. Nela, agentes de IA e a equipe de hackers éticos certificados da Strike testam cada ativo de forma contínua, e cada achado crítico é validado antes de chegar ao cliente.

A plataforma integra o mapeamento da superfície de ataque, a execução de Threat Emulation, ou seja, ataques simulados que replicam técnicas reais, e a priorização e o acompanhamento da remediação.

Para os clientes que já trabalhavam com a Strike, como a Tucafi, essa mudança significou migrar para a nova plataforma. Para a Tucafi, essa etapa foi rápida. A equipe conseguiu acessar pouco depois de confirmar a continuidade do serviço, e encontrou boa parte das informações anteriores já migradas.

Além disso, destacaram que configurar e iniciar uma avaliação também ficou mais simples: menos dados exigidos e uma experiência mais intuitiva do que na plataforma anterior.

"A mudança foi quase imediata e conseguimos entrar rapidinho. É muito mais prático, menos dados, é mais intuitivo."
Equipe Tucafi

O resultado: Menos atrito para começar, mais tempo para o que importa.

‍

[03] Remediar sem colocar a operação em risco

No exercício sobre o CRM, a Strike identificou vulnerabilidades de severidade crítica e alta. Para a Tucafi, encontrá-las é só metade do trabalho. A outra metade é corrigi-las em um sistema em produção, onde uma mudança pode afetar a operação do negócio. Por isso a equipe avança com a remediação de forma gradual, priorizando o que corrigir primeiro.

Para acompanhar esse ritmo, seu programa com a Strike inclui quatro retests por ano. Cada um permite confirmar que as correções já aplicadas funcionam e acompanhar de perto o que ainda está pendente. Além disso, é possível ajustar o foco de cada ciclo (o prompt que orienta a avaliação) para direcioná-lo ao risco ou à área que mais precisar naquele momento.

"Gostei deste exercício, gosto dessa questão de ter quatro retests e de poder modificar o prompt."
Equipe Tucafi

A mesma lógica se aplica aos seus diferentes sistemas. Com um esquema de créditos, a Tucafi decide qual ativo avaliar em cada etapa: primeiro foi o core financeiro, depois o CRM, e agora avalia usar os créditos restantes em sua infraestrutura ou no aplicativo de contratos e assinaturas digitais de seus assessores.

No modelo da Strike, essa abordagem de validação e remediação contínua sustenta, em média, 44% menos tempo médio de remediação.

O resultado: Uma remediação organizada, no ritmo que a operação permite.

‍

[04] Acompanhamento em cada etapa

Mudar de plataforma no meio de um programa de segurança ativo poderia ter sido um ponto de atrito. Para a Tucafi não foi, e grande parte disso se explica pelo acompanhamento da equipe da Strike, um dos aspectos que eles mais reconheceram. Destacaram a disponibilidade e o acompanhamento próximo durante a adoção da nova plataforma. Isso permitiu que tivessem alguém de referência para avançar em cada etapa, desde o primeiro acesso até a configuração das novas avaliações.

"Tivemos acompanhamento, disponibilidade. Sempre de mãos dadas com ela, avançando."
Equipe Tucafi

Esse acompanhamento não termina na implementação. No modelo da Strike, a plataforma é só uma parte.

De um lado, a equipe de Customer Success, que acompanha cada cliente no dia a dia: a adoção da plataforma, o planejamento dos ciclos de avaliação e o acompanhamento dos retests. De outro, o Hacking Team, a equipe de hackers éticos certificados que supervisiona cada avaliação, valida os achados críticos e ajuda a priorizar o que corrigir primeiro.

Para uma empresa como a Tucafi, que precisa corrigir com cuidado sobre sistemas em produção, contar com esse respaldo humano é o que permite avançar sem improvisar.

‍

A Tucafi opera sistemas de crédito centrais para o seu negócio, sensíveis a qualquer interrupção. Com a Validação Híbrida Contínua da Strike, combinou velocidade e continuidade: avaliou seu CRM completo em um único ciclo e sustenta a remediação com quatro retests por ano, priorizando ativo por ativo sem parar a operação.

‍