Ricognizione dell'ecosistema
Mappatura delle interfacce esposte, del ruolo dell'istituzione (trasmittente, ricevente o iniziatore) e della superficie d'attacco nella directory dei partecipanti.
Settore Finanziario · Open Finance
Sicurezza Open Finance
La sicurezza Open Finance è l'insieme di test che provano la resistenza di API, autenticazione e consenso nell'ecosistema regolato dalla Banca Centrale del Brasile. Berghem valuta FAPI, mTLS, Dynamic Client Registration (DCR) e il percorso di consenso contro abusi, fughe di dati e frodi nell'avvio di pagamento.
Cos'è la sicurezza Open Finance?
È la valutazione tecnica dei controlli che proteggono la condivisione dei dati e l'avvio dei pagamenti tra istituzioni partecipanti. Si concentra sulle API, sull'autenticazione FAPI, sul TLS mutuo (mTLS), sul registro dinamico dei client (DCR) e sull'integrità del flusso di consenso dell'utente.
Le istituzioni partecipanti — banche, fintech, iniziatori di pagamento e aggregatori — rispondono della sicurezza delle interfacce che espongono e consumano. Berghem testa ogni strato dello standard Open Finance Brasil come farebbe un avversario: falsificando token, riutilizzando consensi, scalando gli scope e sfruttando falle logiche nel percorso di pagamento, sempre entro l'ambito autorizzato.
Cosa è incluso
•Penetration test delle API Open Finance (FAPI)
•Validazione di mTLS, certificati e sender-constrained token
•Dynamic Client Registration (DCR) e ciclo di vita del client
•Percorso di consenso — creazione, revoca e scope
•Frode nell'avvio di pagamento e abuso della logica
•Mappatura su OWASP API Security Top 10 e LGPD
Lo scenario
Perché Open Finance concentra il rischio
Open Finance Brasil ha trasformato la sicurezza delle API in un problema dell'intero ecosistema. Una sola istituzione partecipante che esponga un'interfaccia mal protetta amplia la superficie d'attacco di tutti gli altri partecipanti collegati ad essa. A differenza di un'integrazione punto a punto, qui i dati sensibili e la capacità di avviare pagamenti circolano tra decine di controparti, e la fiducia è sostenuta da crittografia, certificati e uno standard di autenticazione rigido — non da un perimetro di rete.
Ciò significa che le classiche falle di autorizzazione nelle API acquistano impatto sistemico: un token mal validato, un consenso che non scade o un client registrato in modo improprio possono esporre i dati finanziari di migliaia di titolari o consentire l'avvio fraudolento di pagamenti. Per questo trattiamo il penetration test di Open Finance come un'estensione del programma di sicurezza del settore finanziario, non come un esercizio isolato su una singola API.
Copertura tecnica
Ogni strato di Open Finance, testato
Dall'handshake del certificato al consenso revocato, valutiamo i controlli che lo standard richiede — e i punti in cui l'implementazione tende a fallire.
API FAPI
Penetration test delle interfacce dati e pagamento rispetto all'OWASP API Security Top 10, con focus su autorizzazione compromessa (BOLA/BFLA), validazione della firma e conformità al profilo FAPI.
mTLS e certificati
Validazione dell'autenticazione TLS mutua, della catena di certificati della directory e dei sender-constrained token che legano l'access token al certificato del client.
Dynamic Client Registration
Analisi del registro dinamico dei client (DCR), della gestione dei software statement e del ciclo di vita del client — dove l'abuso della registrazione apre la porta all'accesso non autorizzato.
Consenso e dati
Test del percorso di consenso — creazione, scope, scadenza e revoca — e dell'aderenza alla LGPD nella condivisione di dati personali tra partecipanti.
Avvio di pagamento
Valutazione della sicurezza dei pagamenti — abuso della logica di business, manipolazione di importo e beneficiario, e frode nel percorso di avvio (Pix e altri schemi).
Conformità normativa
Allineamento al quadro di sicurezza informatica della Banca Centrale e del CMN applicabile alle istituzioni finanziarie, con evidenze pronte per l'audit.
Metodologia
Come conduciamo la valutazione
Un penetration test orientato allo standard Open Finance Brasil, che combina test automatizzati di conformità FAPI con lo sfruttamento manuale della logica.
Conformità FAPI
Esecuzione delle suite di conformità FAPI e verifica di PKCE, PAR, JARM e sender-constrained token, oltre ai requisiti di firma del messaggio.
Sfruttamento manuale
Attacchi di autorizzazione, riuso del consenso, escalation dello scope, replay del token e manipolazione del percorso di pagamento eseguiti manualmente.
Evidenze e remediation
Report con CVSS, proof of concept riproducibile, impatto di business e roadmap di correzione prioritizzata — pronto per il team tecnico e per l'audit.
Perché Berghem
Specialisti in sicurezza del settore finanziario
La sicurezza Open Finance richiede chi comprenda sia lo standard OAuth/OpenID sia la regolazione brasiliana — e come un attaccante concatena le due cose.
Focus su FAPI e OAuth
Conosciamo a fondo il profilo Financial-grade API: dove la specifica è rigida e dove le implementazioni allentano i controlli aprendo brecce sfruttabili.
Contesto normativo brasiliano
Traduciamo i risultati tecnici nel linguaggio della Banca Centrale, del CMN e della LGPD, collegando ogni falla al requisito normativo corrispondente.
Prova di sfruttamento reale
Ogni finding arriva con proof of concept e impatto dimostrato — non solo l'output di uno scanner. Sai esattamente cosa otterrebbe un attaccante.
Domande frequenti
Sicurezza Open Finance — domande frequenti
Cos'è FAPI e perché conta in Open Finance?
FAPI (Financial-grade API) è il profilo di sicurezza della OpenID Foundation adottato da Open Finance Brasil. Rafforza OAuth 2.0 con PKCE, PAR, JARM e token legati al certificato. Testiamo se l'implementazione rispetta davvero il profilo o lo dichiara soltanto. Dove non lo rispetta, mostriamo il divario esatto e il suo impatto.
Berghem testa mTLS e la catena di certificati?
Sì. Validiamo l'autenticazione TLS mutua, la catena di certificati emessa dalla directory dei partecipanti e i sender-constrained token, che legano l'access token al certificato del client per impedirne il riuso da parte di terzi. Testiamo anche se un access token catturato viene accettato su una connessione con certificato diverso.
Come valutate il Dynamic Client Registration (DCR)?
Analizziamo il registro dinamico dei client, la validazione dei software statement e il ciclo di vita del client. Cerchiamo falle che permettano di registrare un client illecito, elevare gli scope o impersonare un'altra istituzione partecipante. Ogni finding include la proof of concept che riproduce la registrazione abusiva.
Il test copre il percorso di consenso e la LGPD?
Sì. Testiamo creazione, scope, scadenza e revoca del consenso, verificando se i dati restano accessibili dopo la revoca. Mappiamo i risultati sui principi della LGPD relativi alla condivisione di dati personali tra partecipanti. Verifichiamo anche se i token emessi con il consenso precedente restano validi dopo la scadenza.
Il servizio aiuta con la conformità della Banca Centrale?
Sì. Le evidenze prodotte si allineano al quadro di sicurezza informatica della Banca Centrale e del CMN applicabile alle istituzioni finanziarie. Il report è un input diretto per gli audit e per dimostrare la diligenza di sicurezza richiesta. Include l'inventario dei controlli testati e lo stato di ogni correzione raccomandata.
Parliamone
Testa la sicurezza del tuo Open Finance
In una conversazione di 30 minuti mappiamo il tuo ruolo nell'ecosistema, le interfacce esposte e l'ambito ideale del penetration test — da FAPI al consenso.