O mercado de apostas que não existe
The Betting Market That Doesn't Exist
Em janeiro de 2025 o governo brasileiro publicou a lista oficial de operadores autorizados pelo SPA/MF, a regulação federal de apostas esportivas de quota fixa. A lista tinha 162 marcas. A impressão é de um mercado fragmentado, competitivo, com dezenas de empresas independentes brigando por espaço.
A impressão está errada.
Mapeando as 193 operadoras hoje ativas (incluindo autorizações posteriores), o mercado real é outro.
O que a regulação não conta
Quando você olha para as marcas como endereços na web, uma coisa fica evidente rápido: a maioria tem o mesmo frontend. Mesmo layout, mesma arquitetura de componentes, mesmos padrões de requisição. Isso porque grande parte do mercado não construiu nada. Contratou uma das plataformas B2B que dominam o setor.
O modelo funciona assim: a plataforma fornece o produto completo (frontend, backend, gateway de pagamento, CRM, sistema de odds), a operadora entra com o capital, a licença e o marketing. Do ponto de vista técnico, duas marcas do mesmo whitelabel são o mesmo produto com skin diferente.
O bloco "Custom / Proprietário" (48%) inclui plataformas que construíram infraestrutura própria.
O que o fingerprint revela
Identificar a plataforma de uma operadora é direto. O bundle JavaScript entrega o framework, os nomes de componentes, às vezes strings de versão explícitas. Os headers HTTP revelam o servidor. Os subdomínios seguem padrões por família.
Angular domina porque é o framework padrão da maioria das plataformas B2B mais antigas. Nuxt/Vue aparecem nas plataformas mais recentes.
A qualidade técnica do mercado
Com 156 das 193 operadoras escaneadas via Lighthouse mobile, dá para ter uma leitura da maturidade técnica do setor.
Performance média de 64 num setor onde o usuário acessa principalmente por mobile e a conversão depende de velocidade é um número ruim. Boas práticas em 60 indica problemas mais estruturais: HTTPS mal configurado, console errors, APIs depreciadas.
O que os testes revelam
Concentração de infraestrutura tem uma consequência direta para segurança: uma vulnerabilidade num backend compartilhado não afeta uma operadora. Afeta todas que rodam naquela plataforma ao mesmo tempo.
Ao longo da investigação das plataformas, os mesmos padrões de vulnerabilidade aparecem repetidamente. O mercado priorizou velocidade de lançamento e a segurança ficou em segundo plano. Algumas classes são quase universais.
Exposição sem autenticação inclui endpoints de CPF lookup públicos, tokens de terceiros hardcoded no bundle (CRMs, ferramentas de analytics, provedores de odds) e ambientes de staging acessíveis sem credenciais. São os achados mais rápidos e os mais comuns.
IDOR aparece com frequência porque as APIs foram construídas assumindo que o frontend controla o acesso. Trocar um userId ou clientId na requisição frequentemente retorna dados de outro usuário sem erro.
A distribuição de severidade dos findings identificados até agora:
Nenhum detalhe técnico específico é divulgado antes do patch confirmado. Todas as plataformas afetadas foram notificadas diretamente antes de qualquer publicação.
O que o registro público mostra
Vale dizer que a maior parte dessas informações é pública por definição. O SPA/MF publicou os números de autorização. Os domínios são registrados em cartório. O frontend é entregue ao browser do usuário. Nenhum dos itens acima requer acesso privilegiado.
O que muda quando você mapeia as operadoras de forma sistemática é a capacidade de cruzar: mesma empresa holding, múltiplas marcas, mesma plataforma técnica. Um CNPJ com três licenças e três domínios distintos, todos rodando o mesmo produto.
É um mercado novo tentando parecer maduro. A regulação criou dezenas de operadores formais, mas a infraestrutura por baixo é mais concentrada do que o número de marcas sugere.
In January 2025 the Brazilian government published the official list of operators authorized by the SPA/MF, the federal regulation for fixed-odds sports betting. The list had 162 brands. It looked like a fragmented, competitive market with dozens of independent companies fighting for space.
It isn't.
Mapping the 193 currently active operators (including later authorizations), the real market looks different.
What regulation doesn't tell you
When you look at the brands as web addresses, one thing becomes obvious fast: most of them have the same frontend. Same layout, same component architecture, same request patterns. That's because most of the market didn't build anything. They hired one of the B2B platforms that dominate the sector.
The model works like this: the platform provides the complete product (frontend, backend, payment gateway, CRM, odds system), the operator brings the capital, the license, and the marketing. Technically, two brands on the same whitelabel are the same product with a different skin.
The "Custom / Proprietary" block (48%) includes platforms that built their own infrastructure.
What fingerprinting reveals
Identifying a platform's provider is straightforward. The JavaScript bundle exposes the framework, component names, sometimes explicit version strings. HTTP headers reveal the server stack. Subdomains follow family-specific naming patterns.
Angular dominates because it's the default framework for most older B2B platforms. Nuxt/Vue appear in newer platforms.
Technical quality of the market
With 156 of 193 operators scanned via Lighthouse mobile, it's possible to get a reading on the sector's technical maturity.
An average performance score of 64 in a sector where users are primarily on mobile and conversion depends on load speed is a bad number. Best Practices at 60 points to more structural issues: misconfigured HTTPS, console errors, deprecated APIs.
What the tests reveal
Infrastructure concentration has a direct security consequence: a vulnerability in a shared backend doesn't affect one operator. It affects every brand running on that platform simultaneously.
Across the platforms surveyed, the same vulnerability classes appear repeatedly. The market prioritized speed to launch and security came second. Some categories are nearly universal.
Unauthenticated exposure includes public CPF lookup endpoints, third-party tokens hardcoded in bundles (CRMs, analytics tools, odds providers), and staging environments accessible without credentials. They're the fastest findings and the most common.
IDOR appears frequently because APIs were built assuming the frontend enforces access control. Swapping a userId or clientId in the request often returns another user's data without error.
Severity distribution across identified findings:
No technical specifics are released before patch confirmation. All affected platforms were notified directly before any publication.
What the public record shows
Most of this information is public by definition. The SPA/MF published the authorization numbers. Domains are registered on public records. The frontend is delivered to the user's browser. None of the above requires privileged access.
What changes when you map the operators systematically is the ability to cross-reference: same holding company, multiple brands, same technical platform. One CNPJ with three licenses and three distinct domains, all running the same product.
It's a new market trying to look mature. Regulation created dozens of formal operators, but the infrastructure underneath is more concentrated than the brand count suggests.