Movimentar valor
Transferências, pagamentos, estornos, benefícios, limites e aprovações.
Pentest para Instituições Financeiras (Bancos e Fintechs)
Protegemos os sistemas que movem o dinheiro
Pentest para instituição financeira é um teste de invasão que simula ataques reais contra bancos, fintechs e cooperativas para encontrar falhas exploráveis em aplicações, APIs, PIX, Open Finance, internet e mobile banking, rede e cloud antes dos criminosos. A Berghem executa com escopo alinhado a BACEN 4.893/538, PCI DSS e DORA, com relatório executivo e retest incluso.
PENTEST
Pentest e teste de invasão para instituições financeiras
O pentest para bancos e fintechs da Berghem segue OWASP (WSTG, ASVS e API Security Top 10), PTES e NIST SP 800-115, combinando análise manual e automação para encadear falhas até demonstrar impacto de negócio: movimentar valor, acessar dados de outro cliente ou contornar controles antifraude.
O escopo típico cobre aplicações web, APIs REST e GraphQL, integrações PIX e Open Finance, internet e mobile banking, rede interna e perímetro, e ambientes cloud (AWS, Azure e GCP). Cada frente é testada com identidades sintéticas e sem operações irreversíveis.
Entregáveis: relatório executivo com classificação de risco por CVSS, relatório técnico com evidências reproduzíveis e orientação de correção, e retest das correções incluso. É o mesmo formato do nosso pentest para instituições financeiras alinhado às exigências do Banco Central.
Foco Setorial
Por que serviços financeiros precisam de segurança especializada
Bancos e fintechs estão na intersecção de pressão regulatória, adversários sofisticados e exigências de disponibilidade 24/7. Uma violação é medida em multas regulatórias, churn de clientes e risco sistêmico — não apenas downtime.
Para instituições reguladas e meios de pagamento, veja também a consultoria de segurança cibernética para o setor financeiro, com pentest, Red Team e adequação às resoluções do BACEN.
80%
Foco Setorial
Foco no Setor Financeiro
Mais de 80% do trabalho histórico da Berghem foi dedicado ao setor financeiro, nos dando profundidade incomparável em segurança de pagamentos, infraestrutura bancária e proteção fintech.
Serviços Especializados
O que fazemos pelo setor financeiro
Análise de Pagamentos
Análise abrangente de sistemas de processamento de pagamentos incluindo tokenização, criptografia e segurança do fluxo de transações.
Testes EMV
Avaliação de segurança de implementações de chip EMV, sistemas de pagamento contactless e segurança de transações com cartão presente.
Segurança de POS
Testes de segurança de terminais de ponto de venda, análise de firmware e avaliação de segurança física de dispositivos de pagamento.
Segurança de ATM
Testes de segurança de hardware e software de ATM, prevenção de jackpotting, detecção de skimmers e avaliação de segurança de rede.
Sistemas Antifraude
Avaliação e testes de sistemas de detecção de fraude, regras de monitoramento de transações e plataformas de análise comportamental.
Auditoria de Votação Eletrônica
Auditoria de segurança de sistemas de votação eletrônica, processamento de cédulas, tabulação de resultados e verificabilidade ponta a ponta.
Realidade do Setor
$10,5T
custo anual projetado do cibercrime até 2025
$5,9M
custo médio de uma violação em serviços financeiros
238
dias mediana para identificar uma violação financeira
74%
dos ataques visam finanças, saúde ou infraestrutura crítica
Principais Ameaças
Por que serviços financeiros precisam de segurança especializada
Fraude de pagamento e card skimming
Bypass EMV, ATM jackpotting, malware POS, clonagem de tarja magnética.
Open Finance e ataques a APIs
Roubo de tokens, abuso de escopo, BOLA/IDOR em APIs PIX e Open Finance.
Bypass anti-fraude
Evasão de análise comportamental, redes de mulas, identidades sintéticas.
Ameaças internas
Abuso de acesso privilegiado, exfiltração deliberada de dados.
Ransomware e extorsão
Dupla extorsão visando pregão e operações de tesouraria.
Risco de terceiros e fornecedores
Comprometimento via integrações SWIFT, provedores KYC, CIs.
Conformidade e Frameworks
Padrão exige teste de invasão ou avaliação de segurança
REGULAÇÃO
Pentest obrigatório: BACEN 4.893/538, PCI DSS, DORA e EU AI Act
No Brasil, a Resolução CMN 4.893/2021 (atualizada pela CMN 5.274/2025) e a Resolução BCB 538/2025 exigem teste de intrusão anual executado por profissionais independentes, com plano de ação e evidências mantidas à disposição do BCB. Veja a página de Adequação à Resolução BACEN 4893 para o detalhamento dos requisitos.
Quem armazena, processa ou transmite dados de cartão precisa atender ao PCI DSS, que exige pentest interno e externo ao menos anual e após mudanças significativas. Na Europa, o DORA (Regulamento UE 2022/2554) exige testes de resiliência operacional digital, incluindo TLPT (threat-led penetration testing) para entidades designadas, e o EU AI Act impõe obrigações de gestão de risco a sistemas de IA de alto risco, como avaliação de crédito.
A Berghem desenha o escopo para que um único ciclo de pentest e Red Team gere evidências reaproveitáveis nos quatro regimes, com relatório executivo e retest incluso — no Brasil e, via Berilo, na Europa.
MISSÕES
O risco é medido em impacto de negócio
No setor financeiro, uma exposição pode combinar tecnologia, regra de negócio, processo, identidade e pressão regulatória.
Acessar dados
Informações de outro cliente, dados regulados, extratos e documentos.
Contornar controles
Segregação de funções, antifraude, autenticação e reconciliação.
Interromper operações
Processos críticos, canais, tesouraria, liquidação e atendimento.
EHT AGÊNTICO
Web → API → Web: uma jornada, múltiplas superfícies
O agente pode observar a interface, formular uma hipótese, testar uma API dentro do escopo e confirmar o impacto na jornada.
Exemplo de missãoBG · FIN
- Objetivo
- Validar acesso indevido a informação financeira.
- Identidades
- Cliente A e Cliente B.
- Rotas
- Web→API→Web
- Limites
- Dados sintéticos e nenhuma operação irreversível.
Por que é relevante03 · PONTOS
Estados e permissões mudam ao longo da jornada.
Fluxos sensíveis podem existir mesmo sem falha tradicional.
A evidência precisa ser compreensível para Segurança e Negócio.
CONTEXTO
Controles e normas entram como contexto, não como checklist isolado
PCI, Open Finance, requisitos do Banco Central, LGPD e controles internos ajudam a definir limites, evidências e prioridades.
Controles
Autenticação, autorização, antifraude, segregação, monitoramento e resposta.
Processos
Aprovação, reconciliação, exceções, atendimento e recuperação de conta.
Evidência
Impacto, reprodução, trilha de ações, recomendação e reteste.
RED TEAM
Red Team para bancos e fintechs
Enquanto o pentest mede a exposição de um sistema, o Red Team mede a capacidade de detecção e resposta da instituição inteira. Simulamos um adversário com objetivo definido — fraude, acesso a dados regulados ou interrupção de um canal — com técnicas mapeadas no MITRE ATT&CK e regras de engajamento acordadas com o CISO.
O exercício combina phishing e engenharia social, intrusão externa, movimentação lateral, abuso de identidades e de integrações com terceiros. O Red Team para instituições financeiras da Berghem também cobre modelos e agentes de IA usados em crédito, antifraude e atendimento, onde prompt injection e vazamento de dados abrem novas rotas de fraude.
O resultado é uma linha do tempo do ataque, os pontos em que a detecção falhou e um plano priorizado de melhoria para o time de defesa. Conheça o serviço completo de Red Team adversarial.
EHT
EHT Silver, Gold e Diamond no setor financeiro
O EHT (Ethical Hacking Test) é o formato de pentest para o setor financeiro da Berghem, em três níveis. Silver cobre uma superfície delimitada — uma aplicação, uma API ou um segmento de rede — com testes OWASP Top 10, relatório executivo e 1 retest em até 30 dias.
Gold amplia para OWASP ASVS Nível 2, modelagem de ameaças STRIDE e análise de lógica de negócio — o nível mais comum para internet banking, PIX e Open Finance — com 2 retests em até 90 dias. Diamond cobre OWASP ASVS Nível 3, análise profunda de fraudes e lógica de negócio, análise assistida por código-fonte, mapeamento de conformidade (PCI DSS, ISO 27001) e retests ilimitados por 6 meses.
Instituições reguladas costumam combinar um EHT Gold ou Diamond anual com testes direcionados a cada release relevante, para que a evidência acompanhe o risco real do ambiente. Para começar, contrate uma empresa de pentest com escopo alinhado ao BACEN e ao PCI DSS.
Segurança para o setor financeiro
Frentes especializadas para bancos, fintechs e meios de pagamento.
Leituras relacionadas
Guias sobre custo de violação, conformidade BACEN e gestão de vulnerabilidades.
FAQ
Perguntas frequentes sobre segurança para serviços financeiros
O que um teste de invasão para serviços financeiros cobre?
Cobrimos as superfícies onde o risco vira impacto: core banking, aplicações e APIs de PIX e Open Finance, pagamentos, POS, ATM e antifraude. O foco é encadear falhas até demonstrar movimentação indevida de valor, acesso a dados de outro cliente ou bypass de controles, sempre com dados sintéticos.
Quais normas e regulações se aplicam à segurança financeira no Brasil?
Consideramos PCI-DSS e as demais normas PCI (PIN, P2PE, MPoC), as resoluções do BACEN/CMN sobre segurança cibernética, incluindo a 4.893, a LGPD e os requisitos do Open Finance Brasil. Elas entram como contexto de escopo, evidência e prioridade — não como checklist isolado.
Como vocês testam APIs de PIX e Open Finance?
Analisamos autenticação, autorização e consentimento nas jornadas, buscando BOLA/IDOR, abuso de escopo, roubo e reuso de tokens e quebra de segregação entre instituições. Validamos se um participante consegue acessar dados ou iniciar transações fora do consentimento, com identidades de teste e sem operações irreversíveis.
O que a Berghem entrega ao final do projeto?
Entregamos evidências reproduzíveis com impacto de negócio, trilha de ações, classificação de risco e recomendações priorizadas, além de reteste das correções. O relatório é compreensível tanto para times de Segurança quanto para áreas de Negócio e apoia respostas a auditorias regulatórias e a clientes.
Pentest é obrigatório para bancos e fintechs no Brasil?
Sim. A Resolução CMN 4.893/2021, atualizada pela CMN 5.274/2025, e a Resolução BCB 538/2025 exigem que instituições financeiras e de pagamento autorizadas pelo Banco Central realizem teste de intrusão anual por profissionais independentes, com resultados, plano de ação e evidências documentados. Quem trata dados de cartão soma a isso o pentest exigido pelo PCI DSS.
Qual a diferença entre pentest e Red Team para bancos?
O pentest avalia a exposição de um sistema ou conjunto de sistemas dentro de um escopo definido e produz uma lista priorizada de vulnerabilidades. O Red Team simula um adversário com objetivo de negócio — fraude, exfiltração ou interrupção — sem avisar o time de defesa, e mede se a instituição detecta e responde. Bancos maduros usam os dois: pentest para corrigir, Red Team para validar detecção e resposta.
Quanto custa um pentest para instituição financeira?
O valor depende do tamanho e da complexidade do escopo (número de aplicações, APIs, endpoints e segmentos de rede), do nível de profundidade (EHT Silver, Gold ou Diamond), do tipo de teste (caixa preta, cinza ou branca), da necessidade de testes em ambiente produtivo e de exigências regulatórias específicas. Após uma reunião de escopo, a Berghem envia proposta fechada com prazo, entregáveis e retest incluso.
Com que frequência uma instituição financeira deve fazer pentest?
No mínimo uma vez por ano, que é a exigência do BACEN e do PCI DSS, e após mudanças significativas na infraestrutura ou nas aplicações. Instituições com releases frequentes adotam um pentest completo anual combinado com testes direcionados a cada mudança relevante em PIX, Open Finance, internet e mobile banking.
O pentest pode interromper as operações do banco?
Não, quando bem planejado. Definimos janelas de teste, limites de carga, identidades sintéticas e a regra de nenhuma operação irreversível, com canal direto com a equipe de operações. Testes em produção só ocorrem com aprovação explícita e plano de rollback; o restante é feito em homologação com dados representativos.
Comece Agora
Pronto para proteger o que move o dinheiro?
Fale com um consultor sênior sobre um pentest, um projeto PCI ou um modelo de ameaça de Open Finance sob medida para a sua instituição.