O guia definitivo dos próximos CTFs: de iniciante a hacker de elite em 6 meses (outubro de 2025 a abril de 2026)

As competições de capture the flag variam bastante em dificuldade. Os critérios de avaliação geralmente consideram vários fatores:

• Classificações de peso do CTFtime

• Público-alvo e pré-requisitos

• Reputação histórica

• Complexidade e diversidade dos desafios

• valores dos prêmios e impacto na carreira

As classificações de peso do CTFtime são a métrica padrão do setor, com pontuação de 0 a 100. Quanto maior o peso, mais prestigiada e desafiadora é a competição. Esse sistema de classificação se baseia, entre outros fatores, em votação pública. Como regra geral, eventos com peso acima de 90 costumam ser de nível de elite; os que ficam entre 50 e 89 apresentam desafios de intermediários a avançados; e os abaixo de 50 geralmente são mais acessíveis.

Em alguns eventos, a votação pública do peso começa no início do CTF e fica aberta por uma semana (ou até o fim do ano corrente, se isso ocorrer antes). Podem votar os integrantes de equipes que ficaram entre as 50 melhores no ano anterior e equipes que pontuaram acima de 0.

Desde 2021, só podem votar equipes que participaram de pelo menos dois eventos, e apenas integrantes que entraram na equipe antes do evento.

O voto é contabilizado em nome da equipe. Se vários integrantes votarem, será calculada a média. Se mudar de ideia, você pode votar novamente, mas apenas uma vez; o primeiro voto será descartado. Os organizadores do evento e a equipe vencedora não podem votar.

Para eventos de estreia e eventos com peso inferior a 25, o limite do voto é 25*. Para os demais, o peso é multiplicado pelo peso do ano anterior. X = 2 para eventos de ataque e defesa e 1,5 para os demais.

*Se houver mais de um evento no primeiro ano, todos receberão peso máximo de 25.

O público-alvo e os pré-requisitos têm papel fundamental: competições voltadas explicitamente a estudantes ou iniciantes costumam ser classificadas como mais fáceis, enquanto as que exigem rodadas classificatórias ou são destinadas a equipes profissionais tendem a receber classificações mais difíceis.

A reputação histórica também conta muito. Eventos tradicionais, como DEF CON CTF e SECCON, mantêm um nível de dificuldade consistentemente alto.

A complexidade e a diversidade dos desafios também influenciam as classificações. Eventos com formatos avançados de ataque e defesa ou que exigem conhecimentos especializados, como sistemas embarcados ou segurança de hardware, tendem a ser mais difíceis.

Por fim, as premiações e o impacto na carreira costumam acompanhar o nível de dificuldade, já que eventos mais desafiadores atraem patrocínios maiores e oferecem oportunidades de carreira mais significativas.

CTFs fáceis para iniciantes e estudantes

picoCTF Mini Competition

A Carnegie Mellon University organiza este CTF educativo de 1 a 15 de outubro de 2025, com duas semanas completas para os participantes resolverem os desafios no próprio ritmo. As inscrições abrem em 15 de setembro de 2025. Pessoas a partir de 13 anos podem participar, sem pré-requisitos de cibersegurança. A competição é individual ou em equipes pequenas, de 1 a 5 integrantes, e acontece totalmente online na plataforma dedicada da CMU.

Este CTF foi criado especialmente para iniciantes e estudantes, com tutoriais completos para cada categoria de desafio. O foco educativo prioriza o aprendizado, não a competição. Os desafios abrangem exploração de aplicações web, criptografia, engenharia reversa, análise forense, conhecimentos gerais e exploração de binários — todos pensados para quem está começando. Embora não haja prêmios em dinheiro, os participantes têm acesso à plataforma de prática picoGym da CMU durante o ano todo e recebem certificados de conclusão. O evento é constantemente elogiado pela curva de aprendizado gradual e pelos excelentes recursos educativos, sendo a referência para quem está começando nos CTFs.

Finais do CSAW CTF 2025

⚹ A rodada classificatória já foi encerrada

O OSIRIS Lab da NYU Tandon School of Engineering promove esta competição voltada a estudantes no início de novembro de 2025, após as rodadas classificatórias realizadas de 12 a 14 de setembro de 2025. As equipes classificadas podem se inscrever pela plataforma CSAW; não há limite de integrantes. As finais têm formato híbrido, com polos regionais no Brooklyn, em Abu Dhabi e na Índia, além da opção de participação online.

Criado especialmente para estudantes do ensino médio ao doutorado, o CSAW oferece desafios de nível inicial a avançado, adaptados à experiência dos participantes. A competição oferece mais de US$ 1 milhão em bolsas de estudo e prêmios em dinheiro, o que a torna uma das competições estudantis de CTF com maiores premiações do mundo. As categorias incluem problemas tradicionais no estilo jeopardy, com destaque para habilidades práticas de segurança relevantes para carreiras no setor. A reputação do CSAW como porta de entrada para carreiras em cibersegurança vem de seus amplos recursos educativos e parcerias com empresas.

Competição de segurança embarcada eCTF 2026

A MITRE Corporation abre as inscrições para equipes em setembro de 2025 (após o dia 28) para esta competição diferenciada, que dura um semestre e acontece de janeiro a abril de 2026. As inscrições individuais abrem em dezembro de 2025. O evento aceita participantes a partir de 13 anos para cidadãos dos EUA e de 18 anos para participantes internacionais. Equipes de 3 a 10 integrantes trabalham com orientadores acadêmicos em um formato de projetar, construir e atacar, realizado na plataforma da MITRE.

Esta competição se destaca por se concentrar exclusivamente na segurança de sistemas embarcados — uma especialização rara entre os CTFs. A MITRE fornece placas gratuitas de desenvolvimento de sistemas embarcados a todas as equipes e oferece amplo suporte educativo, pensado especialmente para quem está começando na segurança. A premiação de mais de US$ 25.000 inclui auxílios para viajar e apresentar trabalhos na conferência da MITRE. No formato diferenciado, as equipes projetam sistemas embarcados seguros na primeira fase e, na fase de ataque, tentam comprometer os projetos das outras equipes. Instituições acadêmicas podem conceder créditos universitários pela participação. O foco em mentoria e no desenvolvimento gradual de habilidades torna a competição excepcionalmente acessível para iniciantes, apesar da especialização.

CTFs de dificuldade média para participantes intermediários

Securinets CTF Quals 2025

A Securinets realiza esta etapa classificatória de 4 a 5 de outubro de 2025 (de sexta-feira, às 13h UTC, a sábado, às 21h UTC). A competição online no formato jeopardy dura 32 horas e está aberta a equipes do mundo todo. Os detalhes das inscrições serão anunciados no CTFtime mais perto da data do evento. Com peso 70,50 no CTFtime, o evento representa um salto considerável em dificuldade em relação às competições para iniciantes.

A competição é voltada a participantes de nível intermediário a avançado que querem se classificar para eventos mais prestigiados. Embora os detalhes dos prêmios ainda não tenham sido anunciados, as melhores equipes geralmente conquistam vagas nas finais da Securinets. As categorias cobrem todas as áreas de segurança, com destaque para criptografia, exploração de aplicações web e engenharia reversa. A Securinets construiu uma sólida reputação na comunidade de CTF do Norte da África e do Mediterrâneo, com desafios bem elaborados que equilibram valor educativo e rigor competitivo.

BuckeyeCTF 2025

O Cyber Security Club da Ohio State University organiza este evento de 8 a 10 de novembro de 2025 (de sábado, à 1h UTC, a segunda-feira, à 1h UTC), com 48 horas de desafios online no estilo jeopardy. As inscrições pelo ctf.osucyber.club estão abertas a todas as equipes, com categorias especiais para estudantes de graduação e da Ohio State.

Com peso 50,00 no CTFtime, o BuckeyeCTF equilibra acessibilidade e desafio. A competição oferece prêmios expressivos: US$ 400, US$ 300 e US$ 200 para os três primeiros colocados nas categorias de graduação e Ohio State, além de prêmios de US$ 50 para write-ups de destaque. As categorias incluem segurança web, engenharia reversa, exploração de binários e criptografia, com desafios acessíveis e educativos. A reputação do evento por apresentar enunciados claros e contar com organizadores atenciosos faz dele uma ótima opção para equipes que estão passando do nível iniciante ao intermediário.

GlacierCTF 2025

A LosFuzzys promove esta maratona de 24 horas de 22 a 23 de novembro de 2025 (de sábado, às 18h UTC, a domingo, às 18h UTC), mantendo sua tradição de competições inclusivas e desafiadoras. O formato online jeopardy, em glacierctf.com, aceita equipes de todos os níveis, com reconhecimento especial para equipes estudantis.

Com peso 52,57 no CTFtime, o GlacierCTF oferece categorias variadas, incluindo pwn, engenharia reversa, web, criptografia, contratos inteligentes e desafios diversos. A inclusão de desafios de contratos inteligentes reflete o reconhecimento, pela comunidade de CTF, da importância da segurança em blockchain. A LosFuzzys é elogiada por criar desafios que ensinam enquanto testam as habilidades dos participantes e publica soluções detalhadas após a competição para ampliar o aprendizado.

HeroCTF v7

Realizada de 28 a 30 de novembro de 2025 (de sexta-feira, às 20h UTC, a domingo, às 22h UTC), esta sétima edição limita as equipes a cinco integrantes e mantém um ambiente acolhedor para iniciantes e participantes avançados. As inscrições são feitas pela comunidade do Discord em discord.gg/mgk9bv7, que incentiva a interação antes da competição e a formação de equipes.

Com peso 65,00 no CTFtime, o HeroCTF v7 fica na faixa de dificuldade média-alta. As 50 horas de duração permitem que as equipes enfrentem os desafios sem a pressão de competições mais curtas. Embora os detalhes dos prêmios ainda não tenham sido divulgados, as edições anteriores trouxeram narrativas criativas para os desafios e forte interação na comunidade do Discord, o que torna o evento especialmente interessante para equipes que buscam competição e comunidade.

Black Hat MEA CTF 2025

⚹ A rodada classificatória já foi encerrada

A Black Hat Middle East & Africa realiza este prestigiado evento em Riad, Arábia Saudita, de 2 a 4 de dezembro de 2025, após as classificatórias online realizadas em 7 de setembro de 2025. As finais presenciais duram três dias e exigem participação no local. Os detalhes sobre a estrutura da competição por equipes ainda serão anunciados.

Este evento detém o recorde mundial do Guinness de maior CTF e oferece uma impressionante premiação de 700.000 SAR (aproximadamente US$ 187.000), sendo 300.000 SAR (US$ 80.000) para o primeiro lugar. As categorias incluem segurança web, engenharia reversa, pwn, criptografia e análise forense, todas alinhadas aos padrões das competições profissionais. A parceria com a Federação Saudita de Cibersegurança reforça o papel do evento no desenvolvimento de talentos na região. Embora tenha dificuldade entre média e alta, os prêmios expressivos e o ambiente profissional fazem desta uma competição decisiva para equipes que levam o desafio a sério.

CTFs difíceis para equipes avançadas

Hack.lu CTF 2025

A FluxFingers, da Ruhr-University Bochum, apresenta sua 15ª edição de 17 a 19 de outubro de 2025 (de sexta-feira, às 18h UTC, a domingo, às 18h UTC), mantendo sua posição entre os principais eventos de CTF da Europa. O formato online jeopardy, com duração de 48 horas, atrai equipes de elite do mundo todo; os detalhes das inscrições serão divulgados em breve no CTFtime e no Discord do evento.

Com um peso de 98,02 no CTFtime, o Hack.lu apresenta um nível de dificuldade de elite. Sua longevidade e qualidade consistente fizeram do evento um campo de provas para equipes que buscam competir no nível do DEF CON CTF. Tradicionalmente, as categorias dos desafios priorizam designs inovadores em criptografia, exploração de vulnerabilidades e engenharia reversa, e a FluxFingers é conhecida por criar desafios que expandem os limites dos CTFs convencionais.

N1CTF 2025

A Nu1L Team organiza esta competição de elite nos dias 1 e 2 de novembro de 2025 (de sábado, às 12h UTC, a domingo, às 12h UTC), concentrando uma competição intensa em uma maratona de 24 horas. O formato online de Jeopardy mantém a reputação da Nu1L por desafios tecnicamente exigentes, que requerem conhecimento aprofundado.

Com um peso de 94,50 no CTFtime, o N1CTF está entre as competições anuais mais desafiadoras. Os desafios da Nu1L costumam incluir cenários complexos de exploração de vulnerabilidades, construções criptográficas avançadas e problemas com várias etapas, que exigem abordagens sofisticadas para a resolução. O tempo reduzido aumenta a pressão e exige coordenação eficiente da equipe e rapidez para resolver problemas sob estresse.

saarCTF 2025

A equipe saarsec da Universidade do Sarre promove esta competição no formato ataque e defesa exclusivo em 8 de novembro de 2025 (sábado, das 13h às 22h UTC), reunindo nove horas de competição intensa. A infraestrutura online entra no ar às 14h UTC, com intervalos de 2 a 3 minutos entre as rodadas e flags válidas por 10 rodadas.

Com um peso de 97,22 no CTFtime, o saarCTF se destaca pelo formato ataque e defesa, raro em CTFs online. As equipes precisam manter e corrigir serviços vulneráveis enquanto exploram os sistemas das equipes adversárias, o que exige conhecimentos tanto ofensivos quanto defensivos. Esse formato simula de perto operações de segurança do mundo real, tornando a competição especialmente valiosa para equipes que se preparam para atuar profissionalmente na área ou participar de outras competições ataque e defesa, como a final do DEF CON CTF.

SECCON CTF 14 Quals 2025

O principal CTF do Japão acontece de 13 a 14 de dezembro de 2025 (de sexta, às 5h UTC, a sábado, às 5h UTC) e funciona como etapa classificatória para a final do SECCON 2026. O formato online de Jeopardy, com duração de 24 horas, mantém a tradição do SECCON de excelência técnica e design inovador de desafios.

Com o peso máximo de 100,00 no CTFtime, o SECCON Quals representa o auge da dificuldade competitiva. O evento apresenta desafios elaborados com cuidado em todas as categorias tradicionais, com destaque para criptografia e exploração de vulnerabilidades. Os desafios do SECCON costumam incorporar elementos da cultura e da tecnologia da computação japonesa, dando um toque único à competição. As melhores equipes recebem convites para a prestigiada final presencial em Tóquio, com despesas de viagem cobertas.

ASIS CTF Final 2025

⚹ A etapa classificatória já terminou

Esta final exclusiva para equipes convidadas acontece em 27 e 28 de dezembro de 2025 (de sábado, às 14h UTC, a domingo, às 14h UTC) e é restrita às equipes classificadas no ASIS CTF Quals, no início de setembro. O formato online de Jeopardy, com duração de 24 horas, mantém os mais altos padrões competitivos.

Com o peso perfeito de 100,00 no CTFtime, a final do ASIS CTF é um campeonato de fim de ano para equipes de elite. Os critérios de classificação garantem que apenas equipes comprovadas participem, criando um ambiente com desafios técnicos excepcionais. O ASIS é conhecido por desafios de criptografia e engenharia reversa que levam os limites teóricos e práticos ao extremo e, muitas vezes, exigem abordagens inéditas e profundo conhecimento técnico.

39C3 HXP CTF

Realizado durante o Chaos Communication Congress, de 27 a 30 de dezembro de 2025, em Hamburgo, na Alemanha, o HXP CTF tradicionalmente é a competição oficial do congresso. O formato presencial de Jeopardy, no Congress Center Hamburg, cria uma atmosfera única, que combina competição e a maior conferência de hackers do mundo.

Embora o peso específico no CTFtime ainda não esteja confirmado para 2025, o HXP CTF mantém historicamente o status de competição de elite e é uma etapa classificatória para o DEF CON CTF. A competição atrai as melhores equipes internacionais a Hamburgo, com desafios inspirados no tema do congresso: "Power Cycles". Os desafios do HXP priorizam técnicas inovadoras de exploração de vulnerabilidades, ataques criptográficos e resolução criativa de problemas, que muitas vezes influenciam as tendências de design de desafios de CTF no ano seguinte.

DEF CON Singapore 2026

DEF CON, HTX e CSIT levam a experiência DEF CON à Ásia de 28 a 30 de abril de 2026, no Marina Bay Sands, em Singapura, com treinamentos nos dias 26 e 27 de abril. A experiência completa DEF CON inclui competições de CTF e mantém os lendários padrões de dificuldade do evento.

Como parte da expansão global do DEF CON, este evento terá desafios de nível intermediário a difícil, em competições por equipes que seguem a estrutura padrão do DEF CON. Embora os detalhes específicos do CTF ainda não tenham sido anunciados, a reputação do DEF CON garante desafios de nível mundial em todas as áreas de segurança. A localização em Singapura facilita a participação de equipes asiáticas e cria novas oportunidades para competir em eventos do nível do DEF CON sem precisar viajar para outro continente.

Estratégias de participação

A concentração de eventos entre outubro e dezembro de 2025 cria uma temporada intensa de competições, que exige planejamento estratégico das equipes que pretendem participar de várias delas. O foco do eCTF em sistemas embarcados, o formato ataque e defesa do saarCTF e a inclusão de desafios de contratos inteligentes em eventos como o GlacierCTF refletem a expansão das competições de segurança para além das categorias tradicionais. O patrocínio corporativo aumentou significativamente as premiações, e os US$ 187 mil do Black Hat MEA mostram o investimento crescente do setor no desenvolvimento de habilidades em segurança por meio de competições. O acesso geográfico continua melhorando com polos regionais e opções de participação online, embora os principais eventos estejam cada vez mais priorizando finais presenciais para garantir a integridade competitiva.

Equipes iniciantes podem começar com plataformas educativas como o picoCTF, avançar para eventos organizados por universidades, como CSAW e BuckeyeCTF, testar seus conhecimentos em competições com peso no CTFtime, como o Hack.lu, e, por fim, disputar uma vaga no DEF CON CTF por meio de eventos como o SECCON ou o HXP CTF.

Monte seu portfólio de segurança enquanto compete, com a Snyk (de graça!)

Ganhar CTFs impressiona. Manter projetos open source protegidos? Isso pode transformar sua carreira.

O Snyk's Secure Developer Program oferece a pessoas mantenedoras de projetos open source ferramentas de segurança empresariais gratuitas, análise automatizada de vulnerabilidades e um selo para o README que confirma que seu código está pronto para produção. É ideal para destacar as ferramentas de segurança de IA, as plataformas para treinar em CTFs ou as estruturas de segurança para LLMs que você está desenvolvendo junto com suas atividades nas competições.

Tenha acesso gratuito para seus projetos open source →