Mover valor
Transferencias, pagos, reversiones, beneficios, límites y aprobaciones.
Pentest para Instituciones Financieras (Bancos y Fintechs)
Protegemos los sistemas que mueven el dinero
El pentest para instituciones financieras es una prueba de intrusión que simula ataques reales contra bancos, fintechs y cooperativas para encontrar fallas explotables en aplicaciones, APIs, PIX, Open Finance, internet y mobile banking, red y cloud antes que los delincuentes. Berghem lo ejecuta con alcance alineado a BACEN 4.893/538, PCI DSS y DORA, con informe ejecutivo y retest incluido.
PENTEST
Pentest y prueba de intrusión para instituciones financieras
El pentest para bancos y fintechs de Berghem sigue OWASP (WSTG, ASVS y API Security Top 10), PTES y NIST SP 800-115, combinando análisis manual y automatización para encadenar fallas hasta demostrar impacto de negocio: mover valor, acceder a datos de otro cliente o eludir controles antifraude.
El alcance típico cubre aplicaciones web, APIs REST y GraphQL, integraciones PIX y Open Finance, internet y mobile banking, red interna y perímetro, y entornos cloud (AWS, Azure y GCP). Cada frente se prueba con identidades sintéticas y sin operaciones irreversibles.
Entregables: informe ejecutivo con clasificación de riesgo CVSS, informe técnico con evidencia reproducible y guía de corrección, y retest de las correcciones incluido. Es el mismo formato de nuestro pentest para instituciones financieras alineado a las exigencias del Banco Central de Brasil.
Enfoque Sectorial
Por qué los servicios financieros necesitan seguridad especializada
Bancos y fintechs están en la intersección de presión regulatoria, adversarios sofisticados y exigencias de disponibilidad 24/7. Una violación se mide en multas regulatorias, pérdida de clientes y riesgo sistémico — no solo tiempo de inactividad.
Para instituciones reguladas y medios de pago, vea también la consultoría de ciberseguridad para el sector financiero, con pentest, Red Team y adecuación a las resoluciones del BACEN.
80%
Enfoque Sectorial
Enfoque en Servicios Financieros
Más del 80% del trabajo histórico de Berghem ha sido dedicado al sector financiero, dándonos una profundidad incomparable en seguridad de pagos, infraestructura bancaria y protección fintech.
Servicios Especializados
Lo que hacemos por el sector financiero
Análisis de Pagos
Análisis integral de sistemas de procesamiento de pagos incluyendo tokenización, cifrado y seguridad del flujo de transacciones.
Tests EMV
Evaluación de seguridad de implementaciones de chip EMV, sistemas de pago contactless y seguridad de transacciones con tarjeta presente.
Seguridad POS
Tests de seguridad de terminales de punto de venta, análisis de firmware y evaluación de seguridad física de dispositivos de pago.
Seguridad ATM
Tests de seguridad de hardware y software de ATM, prevención de jackpotting, detección de skimmers y evaluación de seguridad de red.
Sistemas Antifraude
Evaluación y tests de sistemas de detección de fraude, reglas de monitoreo de transacciones y plataformas de análisis comportamental.
Auditoría de Voto Electrónico
Auditoría de seguridad de sistemas de voto electrónico, procesamiento de boletas, tabulación de resultados y verificabilidad de extremo a extremo.
Realidad del Sector
$10,5T
costo anual proyectado del cibercrimen hasta 2025
$5,9M
costo promedio de una violación en servicios financieros
238
días mediana para identificar una violación financiera
74%
de los ataques apuntan a finanzas, salud o infraestructura crítica
Principales Amenazas
Por qué los servicios financieros necesitan seguridad especializada
Fraude de pago y card skimming
Bypass EMV, ATM jackpotting, malware POS, clonación de banda magnética.
Open Finance y ataques a APIs
Robo de tokens, abuso de alcance, BOLA/IDOR en APIs PIX y Open Finance.
Bypass anti-fraude
Evasión de análisis conductual, redes de mulas, identidades sintéticas.
Amenazas internas
Abuso de acceso privilegiado, exfiltración deliberada de datos.
Ransomware y extorsión
Doble extorsión dirigida a operaciones de trading y tesorería.
Riesgo de terceros y proveedores
Compromiso vía integraciones SWIFT, proveedores KYC, CIs.
Cumplimiento y Frameworks
Estándar requiere prueba de penetración o evaluación de seguridad
REGULACIÓN
Pentest obligatorio: BACEN 4.893/538, PCI DSS, DORA y EU AI Act
En Brasil, la Resolución CMN 4.893/2021 (actualizada por la CMN 5.274/2025) y la Resolución BCB 538/2025 exigen una prueba de intrusión anual ejecutada por profesionales independientes, con plan de acción y evidencias a disposición del BCB. Vea la página de Adecuación a la Resolución BACEN 4893 para el detalle de los requisitos.
Quien almacena, procesa o transmite datos de tarjeta debe cumplir PCI DSS, que exige pentest interno y externo al menos anual y tras cambios significativos. En Europa, DORA (Reglamento UE 2022/2554) exige pruebas de resiliencia operativa digital, incluido TLPT (threat-led penetration testing) para entidades designadas, y el EU AI Act impone obligaciones de gestión de riesgos a sistemas de IA de alto riesgo, como la evaluación crediticia.
Berghem diseña el alcance para que un único ciclo de pentest y Red Team genere evidencia reutilizable en los cuatro regímenes, con informe ejecutivo y retest incluido — en Brasil y, vía Berilo, en Europa.
MISIONES
El riesgo se mide en impacto de negocio
En el sector financiero, una exposición puede combinar tecnología, regla de negocio, proceso, identidad y presión regulatoria.
Acceder a datos
Información de otro cliente, datos regulados, extractos y documentos.
Eludir controles
Segregación de funciones, antifraude, autenticación y conciliación.
Interrumpir operaciones
Procesos críticos, canales, tesorería, liquidación y atención.
EHT AGÉNTICO
Web → API → Web: un recorrido, múltiples superficies
El agente puede observar la interfaz, formular una hipótesis, probar una API dentro del alcance y confirmar el impacto en el recorrido.
Ejemplo de misiónBG · FIN
- Objetivo
- Validar acceso indebido a información financiera.
- Identidades
- Cliente A y Cliente B.
- Rutas
- Web→API→Web
- Límites
- Datos sintéticos y ninguna operación irreversible.
Por qué es relevante03 · PUNTOS
Los estados y permisos cambian a lo largo del recorrido.
Pueden existir flujos sensibles incluso sin una falla tradicional.
La evidencia debe ser comprensible para Seguridad y Negocio.
CONTEXTO
Controles y normas entran como contexto, no como checklist aislado
PCI, Open Finance, requisitos del Banco Central, LGPD y controles internos ayudan a definir límites, evidencias y prioridades.
Controles
Autenticación, autorización, antifraude, segregación, monitoreo y respuesta.
Procesos
Aprobación, conciliación, excepciones, atención y recuperación de cuenta.
Evidencia
Impacto, reproducción, traza de acciones, recomendación y retest.
RED TEAM
Red Team para bancos y fintechs
Mientras el pentest mide la exposición de un sistema, el Red Team mide la capacidad de detección y respuesta de toda la institución. Simulamos un adversario con objetivo definido — fraude, acceso a datos regulados o interrupción de un canal — con técnicas mapeadas en MITRE ATT&CK y reglas de compromiso acordadas con el CISO.
El ejercicio combina phishing e ingeniería social, intrusión externa, movimiento lateral, abuso de identidades y de integraciones con terceros. El Red Team para instituciones financieras de Berghem también cubre modelos y agentes de IA usados en crédito, antifraude y atención, donde prompt injection y fuga de datos abren nuevas rutas de fraude.
El resultado es una línea de tiempo del ataque, los puntos donde falló la detección y un plan priorizado de mejora para el equipo de defensa. Conozca el servicio completo de Red Team adversarial.
EHT
EHT Silver, Gold y Diamond en el sector financiero
El EHT (Ethical Hacking Test) es el formato de pentest para el sector financiero de Berghem, en tres niveles. Silver cubre una superficie delimitada — una aplicación, una API o un segmento de red — con pruebas OWASP Top 10, informe ejecutivo y 1 retest en hasta 30 días.
Gold amplía a OWASP ASVS Nivel 2, modelado de amenazas STRIDE y análisis de lógica de negocio — el nivel más común para internet banking, PIX y Open Finance — con 2 retests en hasta 90 días. Diamond cubre OWASP ASVS Nivel 3, análisis profundo de fraude y lógica de negocio, análisis asistido por código fuente, mapeo de cumplimiento (PCI DSS, ISO 27001) y retests ilimitados por 6 meses.
Las instituciones reguladas suelen combinar un EHT Gold o Diamond anual con pruebas dirigidas en cada release relevante, para que la evidencia acompañe el riesgo real del entorno. Para empezar, contrate una empresa de pentesting con alcance alineado a BACEN y PCI DSS.
Seguridad para el sector financiero
Frentes especializados para bancos, fintechs y medios de pago.
Lecturas relacionadas
Guías sobre costo de violación, cumplimiento BACEN y gestión de vulnerabilidades.
FAQ
Preguntas frecuentes sobre seguridad para servicios financieros
¿Qué cubre un pentest para servicios financieros?
Cubrimos las superficies donde el riesgo se vuelve impacto: core banking, aplicaciones y APIs de PIX y Open Finance, pagos, POS, ATM y antifraude. El objetivo es encadenar fallas hasta demostrar movimiento indebido de valor, acceso a datos de otro cliente o bypass de controles, siempre con datos sintéticos.
¿Qué normas y regulaciones aplican a la seguridad financiera en Brasil?
Consideramos PCI-DSS y las demás normas PCI (PIN, P2PE, MPoC), las resoluciones del BACEN/CMN sobre seguridad cibernética, incluida la 4.893, la LGPD y los requisitos de Open Finance Brasil. Entran como contexto de alcance, evidencia y prioridad, no como checklist aislado.
¿Cómo prueban las APIs de PIX y Open Finance?
Analizamos autenticación, autorización y consentimiento en los recorridos, buscando BOLA/IDOR, abuso de alcance, robo y reuso de tokens y ruptura de segregación entre instituciones. Validamos si un participante puede acceder a datos o iniciar transacciones fuera del consentimiento, con identidades de prueba y sin operaciones irreversibles.
¿Qué entrega Berghem al final del proyecto?
Entregamos evidencia reproducible con impacto de negocio, traza de acciones, clasificación de riesgo y recomendaciones priorizadas, además de retest de las correcciones. El informe es comprensible tanto para equipos de Seguridad como de Negocio y apoya respuestas a auditorías regulatorias y a sus clientes.
¿El pentest es obligatorio para bancos y fintechs en Brasil?
Sí. La Resolución CMN 4.893/2021, actualizada por la CMN 5.274/2025, y la Resolución BCB 538/2025 exigen que las instituciones financieras y de pago autorizadas por el Banco Central realicen una prueba de intrusión anual por profesionales independientes, con resultados, plan de acción y evidencias documentados. Quien trata datos de tarjeta suma el pentest exigido por PCI DSS.
¿Cuál es la diferencia entre pentest y Red Team para bancos?
El pentest evalúa la exposición de un sistema o conjunto de sistemas dentro de un alcance definido y produce una lista priorizada de vulnerabilidades. El Red Team simula un adversario con objetivo de negocio — fraude, exfiltración o interrupción — sin avisar al equipo de defensa, y mide si la institución detecta y responde. Los bancos maduros usan ambos: pentest para corregir, Red Team para validar detección y respuesta.
¿Cuánto cuesta un pentest para una institución financiera?
El valor depende del tamaño y la complejidad del alcance (número de aplicaciones, APIs, endpoints y segmentos de red), del nivel de profundidad (EHT Silver, Gold o Diamond), del tipo de prueba (caja negra, gris o blanca), de la necesidad de probar en producción y de exigencias regulatorias específicas. Tras una reunión de alcance, Berghem envía una propuesta cerrada con plazo, entregables y retest incluido.
¿Con qué frecuencia debe hacer pentest una institución financiera?
Al menos una vez al año, que es la exigencia de BACEN y de PCI DSS, y tras cambios significativos en la infraestructura o las aplicaciones. Las instituciones con releases frecuentes adoptan un pentest completo anual combinado con pruebas dirigidas en cada cambio relevante en PIX, Open Finance, internet y mobile banking.
¿El pentest puede interrumpir las operaciones del banco?
No, cuando está bien planificado. Definimos ventanas de prueba, límites de carga, identidades sintéticas y la regla de ninguna operación irreversible, con canal directo con el equipo de operaciones. Las pruebas en producción solo ocurren con aprobación explícita y plan de rollback; el resto se hace en homologación con datos representativos.
Comience Ahora
¿Listo para proteger lo que mueve el dinero?
Hable con un consultor sénior sobre un pentest, un proyecto PCI o un modelo de amenaza de Open Finance a medida para su institución.