Reconocimiento del ecosistema
Mapeo de las interfaces expuestas, el rol de la institución (transmisora, receptora o iniciadora) y la superficie de ataque en el directorio de participantes.
Sector Financiero · Open Finance
Seguridad en Open Finance
La seguridad en Open Finance es el conjunto de pruebas que comprueban la resistencia de APIs, autenticación y consentimiento en el ecosistema regulado por el Banco Central de Brasil. Berghem evalúa FAPI, mTLS, Dynamic Client Registration (DCR) y la jornada de consentimiento frente al abuso, la fuga de datos y el fraude en la iniciación de pagos.
¿Qué es la seguridad en Open Finance?
Es la evaluación técnica de los controles que protegen el compartir datos y la iniciación de pagos entre instituciones participantes. Se centra en las APIs, la autenticación FAPI, el TLS mutuo (mTLS), el registro dinámico de clientes (DCR) y la integridad del flujo de consentimiento del usuario.
Las instituciones participantes — bancos, fintechs, iniciadores de pago y agregadores — responden por la seguridad de las interfaces que exponen y consumen. Berghem prueba cada capa del estándar Open Finance Brasil como lo haría un adversario: falsificando tokens, reutilizando consentimientos, escalando alcances y explotando fallas de lógica en la jornada de pago, siempre dentro del alcance autorizado.
Qué incluye
•Pentest de las APIs Open Finance (FAPI)
•Validación de mTLS, certificados y sender-constrained tokens
•Dynamic Client Registration (DCR) y ciclo de vida del cliente
•Jornada de consentimiento — creación, revocación y alcance
•Fraude en la iniciación de pagos y abuso de lógica
•Mapeo a OWASP API Security Top 10 y LGPD
El escenario
Por qué Open Finance concentra riesgo
Open Finance Brasil convirtió la seguridad de APIs en un problema de todo el ecosistema. Una sola institución participante que exponga una interfaz mal protegida amplía la superficie de ataque de todos los demás participantes conectados a ella. A diferencia de una integración punto a punto, aquí los datos sensibles y la capacidad de iniciar pagos circulan por decenas de contrapartes, y la confianza se sostiene con criptografía, certificados y un estándar de autenticación rígido — no con un perímetro de red.
Esto significa que las fallas clásicas de autorización en APIs ganan impacto sistémico: un token mal validado, un consentimiento que no expira o un cliente registrado indebidamente pueden exponer datos financieros de miles de titulares o permitir la iniciación fraudulenta de pagos. Por eso tratamos el pentest de Open Finance como una extensión del programa de seguridad del sector financiero, y no como un ejercicio aislado sobre una sola API.
Cobertura técnica
Cada capa de Open Finance, probada
Del handshake de certificado al consentimiento revocado, evaluamos los controles que el estándar exige — y los puntos donde la implementación suele fallar.
APIs FAPI
Pentest de las interfaces de datos y pago contra el OWASP API Security Top 10, con foco en autorización rota (BOLA/BFLA), validación de firma y conformidad con el perfil FAPI.
mTLS y certificados
Validación de la autenticación TLS mutua, la cadena de certificados del directorio y los sender-constrained tokens que vinculan el access token al certificado del cliente.
Dynamic Client Registration
Análisis del registro dinámico de clientes (DCR), gestión de software statements y ciclo de vida del cliente — donde el abuso de registro abre la puerta al acceso no autorizado.
Consentimiento y datos
Prueba de la jornada de consentimiento — creación, alcance, expiración y revocación — y la adherencia a la LGPD en el compartir datos personales entre participantes.
Iniciación de pagos
Evaluación de la seguridad de pagos — abuso de lógica de negocio, manipulación de monto y beneficiario, y fraude en la jornada de iniciación (Pix y otros arreglos).
Conformidad regulatoria
Alineación con el marco de seguridad cibernética del Banco Central y del CMN aplicable a las instituciones financieras, con evidencias listas para auditoría.
Metodología
Cómo realizamos la evaluación
Un pentest orientado al estándar Open Finance Brasil, combinando pruebas automatizadas de conformidad FAPI con explotación manual de lógica.
Conformidad FAPI
Ejecución de suites de conformidad FAPI y verificación de PKCE, PAR, JARM y sender-constrained tokens, además de los requisitos de firma de mensaje.
Explotación manual
Ataques de autorización, reutilización de consentimiento, escalada de alcance, replay de token y manipulación de la jornada de pago realizados manualmente.
Evidencias y remediación
Informe con CVSS, prueba de concepto reproducible, impacto de negocio y roadmap de corrección priorizado — listo para el equipo técnico y la auditoría.
Por qué Berghem
Especialistas en seguridad del sector financiero
La seguridad en Open Finance exige a quien entienda tanto el estándar OAuth/OpenID como la regulación brasileña — y cómo un atacante encadena ambas.
Foco en FAPI y OAuth
Conocemos el perfil Financial-grade API a fondo: dónde la especificación es rígida y dónde las implementaciones relajan controles y abren brechas explotables.
Contexto regulatorio brasileño
Traducimos hallazgos técnicos al lenguaje del Banco Central, del CMN y de la LGPD, conectando cada falla con su requisito regulatorio correspondiente.
Prueba de explotación real
Cada hallazgo viene con prueba de concepto e impacto demostrado — no solo el output de un escáner. Sabe exactamente qué lograría un atacante.
Preguntas frecuentes
Seguridad en Open Finance — preguntas frecuentes
¿Qué es FAPI y por qué importa en Open Finance?
FAPI (Financial-grade API) es el perfil de seguridad de la OpenID Foundation adoptado por Open Finance Brasil. Endurece OAuth 2.0 con PKCE, PAR, JARM y tokens vinculados al certificado. Probamos si la implementación cumple el perfil o solo lo declara. Donde no lo cumple, mostramos la brecha exacta y su impacto.
¿Berghem prueba mTLS y la cadena de certificados?
Sí. Validamos la autenticación TLS mutua, la cadena de certificados emitida por el directorio de participantes y los sender-constrained tokens, que vinculan el access token al certificado del cliente para impedir su reuso por terceros. También probamos si un access token capturado es aceptado en una conexión con certificado distinto.
¿Cómo evalúan el Dynamic Client Registration (DCR)?
Analizamos el registro dinámico de clientes, la validación de los software statements y el ciclo de vida del cliente. Buscamos fallas que permitan registrar un cliente indebido, elevar alcances o suplantar a otra institución participante. Cada hallazgo incluye la prueba de concepto que reproduce el registro abusivo.
¿La prueba cubre la jornada de consentimiento y la LGPD?
Sí. Probamos creación, alcance, expiración y revocación de consentimiento, verificando si los datos siguen accesibles tras la revocación. Mapeamos los hallazgos a los principios de la LGPD sobre el compartir datos personales entre participantes. También verificamos si los tokens emitidos con el consentimiento anterior siguen válidos tras expirar.
¿El servicio ayuda con la conformidad del Banco Central?
Sí. Las evidencias producidas se alinean con el marco de seguridad cibernética del Banco Central y del CMN aplicable a las instituciones financieras. El informe sirve como insumo directo para auditorías y para demostrar la diligencia de seguridad exigida. Incluye el inventario de controles probados y el estado de cada corrección recomendada.
Hablemos
Prueba la seguridad de tu Open Finance
En una conversación de 30 minutos mapeamos tu rol en el ecosistema, las interfaces expuestas y el alcance ideal del pentest — de FAPI a consentimiento.