Movimentare valore
Bonifici, pagamenti, storni, benefit, limiti e approvazioni.
Pentest per Istituti Finanziari (Banche e Fintech)
Proteggiamo i sistemi che muovono il denaro
Il pentest per istituti finanziari è un penetration test che simula attacchi reali contro banche, fintech e cooperative di credito per trovare falle sfruttabili in applicazioni, API, PIX, Open Finance, internet e mobile banking, rete e cloud prima dei criminali. Berghem lo esegue con perimetro allineato a BACEN 4.893/538, PCI DSS e DORA, con report esecutivo e retest incluso.
PENTEST
Pentest e penetration test per istituti finanziari
Il pentest per banche e fintech di Berghem segue OWASP (WSTG, ASVS e API Security Top 10), PTES e NIST SP 800-115, combinando analisi manuale e automazione per concatenare le falle fino a dimostrare l'impatto di business: movimentare valore, accedere ai dati di un altro cliente o aggirare i controlli antifrode.
Il perimetro tipico copre applicazioni web, API REST e GraphQL, integrazioni PIX e Open Finance, internet e mobile banking, rete interna e perimetro, e ambienti cloud (AWS, Azure e GCP). Ogni superficie è testata con identità sintetiche e senza operazioni irreversibili.
Deliverable: report esecutivo con classificazione del rischio CVSS, report tecnico con evidenze riproducibili e indicazioni di remediation, e retest delle correzioni incluso. È lo stesso formato del nostro pentest per istituti finanziari allineato ai requisiti della Banca Centrale del Brasile.
Focus Settoriale
Perché i servizi finanziari necessitano di sicurezza specializzata
Banche e fintech si trovano all'intersezione tra pressione normativa, avversari sofisticati e requisiti di disponibilità 24/7. Una violazione si misura in sanzioni normative, perdita di clienti e rischio sistemico — non solo downtime.
Per istituzioni regolate e sistemi di pagamento, vedi anche la consulenza di cybersecurity per il settore finanziario, con penetration test, Red Team e adeguamento normativo.
80%
Focus Settoriale
Focus sui Servizi Finanziari
Oltre l'80% del lavoro storico di Berghem è stato dedicato ai servizi finanziari, dandoci una profondità senza pari nella sicurezza dei pagamenti, nell'infrastruttura bancaria e nella protezione delle fintech.
Servizi Specializzati
Cosa facciamo per il settore finanziario
Analisi dei Pagamenti
Analisi completa dei sistemi di elaborazione dei pagamenti inclusi tokenizzazione, cifratura e sicurezza del flusso delle transazioni.
Test EMV
Valutazione di sicurezza di implementazioni di chip EMV, sistemi di pagamento contactless e sicurezza delle transazioni con carta presente.
Sicurezza POS
Test di sicurezza dei terminali POS, analisi del firmware e valutazione della sicurezza fisica dei dispositivi di pagamento.
Sicurezza ATM
Test di sicurezza hardware e software degli ATM, prevenzione del jackpotting, rilevamento di skimmer e valutazione della sicurezza di rete.
Sistemi Antifrode
Valutazione e test di sistemi di rilevamento frodi, regole di monitoraggio delle transazioni e piattaforme di analisi comportamentale.
Audit del Voto Elettronico
Audit di sicurezza di sistemi di voto elettronico, elaborazione delle schede, tabulazione dei risultati e verificabilità end-to-end.
Realtà del Settore
$10,5T
costo annuale previsto del cybercrime entro il 2025
$5,9M
costo medio di una violazione nei servizi finanziari
238
giorni mediani per identificare una violazione finanziaria
74%
degli attacchi prendono di mira finanza, sanità o infrastrutture critiche
Principali Minacce
Perché i servizi finanziari necessitano di sicurezza specializzata
Frode nei pagamenti e card skimming
Bypass EMV, ATM jackpotting, malware POS, clonazione di banda magnetica.
Open Finance e attacchi API
Furto di token, abuso di scope, BOLA/IDOR nelle API PIX e Open Finance.
Bypass anti-frode
Evasione dell'analisi comportamentale, reti di muli, identità sintetiche.
Minacce interne
Abuso di accesso privilegiato, esfiltrazione deliberata dei dati.
Ransomware ed estorsione
Doppia estorsione mirata a trading e operazioni di tesoreria.
Rischio di terze parti e fornitori
Compromissione via integrazioni SWIFT, provider KYC, CI.
Conformità e Framework
Standard richiede penetration test o valutazione di sicurezza
NORMATIVA
Pentest obbligatorio: BACEN 4.893/538, PCI DSS, DORA e EU AI Act
In Brasile, la Resolução CMN 4.893/2021 (aggiornata dalla CMN 5.274/2025) e la Resolução BCB 538/2025 richiedono un penetration test annuale eseguito da professionisti indipendenti, con piano d'azione ed evidenze a disposizione del BCB. Vedi la pagina di Adeguamento alla Risoluzione BACEN 4893 per il dettaglio dei requisiti.
Chi archivia, elabora o trasmette dati di carte deve rispettare il PCI DSS, che richiede pentest interni ed esterni almeno annuali e dopo modifiche significative. In Europa, il DORA (Regolamento UE 2022/2554) richiede test di resilienza operativa digitale, incluso il TLPT (threat-led penetration testing) per le entità designate, e l'EU AI Act impone obblighi di gestione del rischio ai sistemi di IA ad alto rischio, come la valutazione del merito creditizio.
Berghem progetta il perimetro perché un unico ciclo di pentest e Red Team produca evidenze riutilizzabili nei quattro regimi, con report esecutivo e retest incluso — in Brasile e, tramite Berilo, in Europa.
MISSIONI
Il rischio si misura in impatto di business
Nel settore finanziario, un'esposizione può combinare tecnologia, regola di business, processo, identità e pressione normativa.
Accedere ai dati
Informazioni di un altro cliente, dati regolamentati, estratti conto e documenti.
Aggirare i controlli
Segregazione dei compiti, antifrode, autenticazione e riconciliazione.
Interrompere le operazioni
Processi critici, canali, tesoreria, regolamento e assistenza.
EHT AGENTICO
Web → API → Web: un percorso, molteplici superfici
L'agente può osservare l'interfaccia, formulare un'ipotesi, testare un'API nel perimetro e confermare l'impatto sul percorso.
Esempio di missioneBG · FIN
- Obiettivo
- Validare l'accesso improprio a informazioni finanziarie.
- Identità
- Cliente A e Cliente B.
- Percorsi
- Web→API→Web
- Limiti
- Dati sintetici e nessuna operazione irreversibile.
Perché è rilevante03 · PUNTI
Stati e permessi cambiano lungo il percorso.
Flussi sensibili possono esistere anche senza una vulnerabilità tradizionale.
L'evidenza deve essere comprensibile per Sicurezza e Business.
CONTESTO
Controlli e normative entrano come contesto, non come checklist isolata
PCI, Open Finance, requisiti della Banca Centrale, LGPD e controlli interni aiutano a definire limiti, evidenze e priorità.
Controlli
Autenticazione, autorizzazione, antifrode, segregazione, monitoraggio e risposta.
Processi
Approvazione, riconciliazione, eccezioni, assistenza e recupero account.
Evidenza
Impatto, riproduzione, traccia delle azioni, raccomandazione e retest.
RED TEAM
Red Team per banche e fintech
Mentre il pentest misura l'esposizione di un sistema, il Red Team misura la capacità di rilevamento e risposta dell'intero istituto. Simuliamo un avversario con un obiettivo definito — frode, accesso a dati regolamentati o interruzione di un canale — con tecniche mappate su MITRE ATT&CK e regole di ingaggio concordate con il CISO.
L'esercizio combina phishing e social engineering, intrusione esterna, movimento laterale, abuso di identità e di integrazioni con terze parti. Il Red Team per istituti finanziari di Berghem copre anche modelli e agenti di IA usati in credito, antifrode e assistenza clienti, dove prompt injection e fuga di dati aprono nuove vie di frode.
Il risultato è una timeline dell'attacco, i punti in cui il rilevamento ha fallito e un piano di miglioramento prioritizzato per il team di difesa. Scopri il servizio completo di Red Team adversarial.
EHT
EHT Silver, Gold e Diamond nel settore finanziario
L'EHT (Ethical Hacking Test) è il formato di pentest per il settore finanziario di Berghem, in tre livelli. Silver copre una superficie delimitata — un'applicazione, un'API o un segmento di rete — con test OWASP Top 10, report esecutivo e 1 retest entro 30 giorni.
Gold estende a OWASP ASVS Livello 2, threat modeling STRIDE e analisi della logica di business — il livello più comune per internet banking, PIX e Open Finance — con 2 retest entro 90 giorni. Diamond copre OWASP ASVS Livello 3, analisi approfondita di frodi e logica di business, analisi assistita dal codice sorgente, mappatura di conformità (PCI DSS, ISO 27001) e retest illimitati per 6 mesi.
Gli istituti regolamentati combinano di solito un EHT Gold o Diamond annuale con test mirati a ogni release rilevante, così che l'evidenza segua il rischio reale dell'ambiente. Per iniziare, scegli un'azienda di pentest con un perimetro allineato a BACEN e PCI DSS.
Sicurezza per il settore finanziario
Percorsi specializzati per banche, fintech e sistemi di pagamento.
Letture correlate
Guide su costo di violazione, conformità BACEN e gestione delle vulnerabilità.
FAQ
Domande frequenti sulla sicurezza per i servizi finanziari
Cosa copre un penetration test per i servizi finanziari?
Copriamo le superfici dove il rischio diventa impatto: core banking, applicazioni e API di PIX e Open Finance, pagamenti, POS, ATM e antifrode. L'obiettivo è concatenare le falle fino a dimostrare movimentazione impropria di valore, accesso ai dati di un altro cliente o bypass dei controlli, sempre con dati sintetici.
Quali normative e regolamenti si applicano alla sicurezza finanziaria in Brasile?
Consideriamo PCI-DSS e gli altri standard PCI (PIN, P2PE, MPoC), le risoluzioni del BACEN/CMN sulla sicurezza informatica, inclusa la 4.893, la LGPD e i requisiti di Open Finance Brasil. Entrano come contesto di perimetro, evidenza e priorità, non come checklist isolata.
Come testate le API di PIX e Open Finance?
Analizziamo autenticazione, autorizzazione e consenso lungo i percorsi, cercando BOLA/IDOR, abuso di scope, furto e riuso di token e rottura della segregazione tra istituzioni. Verifichiamo se un partecipante può accedere ai dati o avviare transazioni fuori dal consenso, con identità di test e nessuna operazione irreversibile.
Cosa consegna Berghem al termine del progetto?
Consegniamo evidenze riproducibili con impatto di business, traccia delle azioni, classificazione del rischio e raccomandazioni prioritizzate, oltre al retest delle correzioni. Il report è comprensibile sia per i team di Sicurezza sia per il Business e supporta risposte ad audit normativi e ai vostri clienti.
Il pentest è obbligatorio per banche e fintech in Brasile?
Sì. La Resolução CMN 4.893/2021, aggiornata dalla CMN 5.274/2025, e la Resolução BCB 538/2025 richiedono che gli istituti finanziari e di pagamento autorizzati dalla Banca Centrale eseguano un penetration test annuale con professionisti indipendenti, con risultati, piano d'azione ed evidenze documentati. Chi tratta dati di carte aggiunge il pentest richiesto dal PCI DSS.
Qual è la differenza tra pentest e Red Team per le banche?
Il pentest valuta l'esposizione di un sistema o di un insieme di sistemi entro un perimetro definito e produce una lista prioritizzata di vulnerabilità. Il Red Team simula un avversario con un obiettivo di business — frode, esfiltrazione o interruzione — senza avvisare il team di difesa, e misura se l'istituto rileva e risponde. Le banche mature usano entrambi: pentest per correggere, Red Team per validare rilevamento e risposta.
Quanto costa un pentest per un istituto finanziario?
Il valore dipende da dimensione e complessità del perimetro (numero di applicazioni, API, endpoint e segmenti di rete), dal livello di profondità (EHT Silver, Gold o Diamond), dal tipo di test (black, grey o white box), dalla necessità di testare in produzione e da requisiti normativi specifici. Dopo una riunione di scoping, Berghem invia una proposta a prezzo chiuso con tempi, deliverable e retest incluso.
Con quale frequenza un istituto finanziario deve fare un pentest?
Almeno una volta l'anno, come richiesto da BACEN e PCI DSS, e dopo modifiche significative all'infrastruttura o alle applicazioni. Gli istituti con release frequenti adottano un pentest completo annuale combinato con test mirati a ogni modifica rilevante in PIX, Open Finance, internet e mobile banking.
Il pentest può interrompere le operazioni della banca?
No, se ben pianificato. Definiamo finestre di test, limiti di carico, identità sintetiche e la regola di nessuna operazione irreversibile, con un canale diretto con il team operativo. I test in produzione avvengono solo con approvazione esplicita e piano di rollback; il resto si svolge in ambiente di staging con dati rappresentativi.
Inizia Ora
Pronto a proteggere ciò che muove il denaro?
Parla con un consulente senior di un pentest, di un progetto PCI o di un modello di minaccia Open Finance su misura per il tuo istituto.