Reconhecimento do ecossistema
Mapeamento das interfaces expostas, do papel da instituição (transmissora, receptora ou iniciadora) e da superfície de ataque no diretório de participantes.
Setor Financeiro · Open Finance
Segurança em Open Finance
Segurança em Open Finance é o conjunto de testes que comprova a resistência de APIs, autenticação e consentimento no ecossistema regulado pelo Banco Central. A Berghem avalia FAPI, mTLS, Dynamic Client Registration (DCR) e a jornada de consentimento contra abuso, vazamento de dados e fraude na iniciação de pagamento.
O que é segurança em Open Finance?
É a avaliação técnica dos controles que protegem o compartilhamento de dados e a iniciação de pagamentos entre instituições participantes. Concentra-se nas APIs, na autenticação FAPI, na criptografia mútua (mTLS), no registro dinâmico de clientes (DCR) e na integridade do fluxo de consentimento do usuário.
Instituições participantes — bancos, fintechs, iniciadoras de pagamento e agregadores — respondem pela segurança das interfaces que expõem e consomem. A Berghem testa cada camada do padrão Open Finance Brasil como um adversário faria: forjando tokens, reutilizando consentimentos, escalando escopos e explorando falhas de lógica na jornada de pagamento, sempre dentro do escopo autorizado.
O que está incluso
•Teste de invasão das APIs Open Finance (FAPI)
•Validação de mTLS, certificados e sender-constrained tokens
•Dynamic Client Registration (DCR) e ciclo de vida do cliente
•Jornada de consentimento — criação, revogação e escopo
•Fraude na iniciação de pagamento e abuso de lógica
•Mapeamento para OWASP API Security Top 10 e LGPD
O cenário
Por que o Open Finance concentra risco
O Open Finance Brasil transformou a segurança de APIs em um problema de todo o ecossistema. Uma única instituição participante que exponha uma interface mal protegida amplia a superfície de ataque de todos os demais participantes conectados a ela. Diferente de uma integração ponto a ponto, aqui os dados sensíveis e a capacidade de iniciar pagamentos circulam por dezenas de contrapartes, e a confiança é sustentada por criptografia, certificados e um padrão de autenticação rígido — não por um perímetro de rede.
Isso significa que falhas clássicas de autorização em APIs ganham impacto sistêmico: um token mal validado, um consentimento que não expira ou um cliente registrado indevidamente podem expor dados financeiros de milhares de titulares ou permitir a iniciação fraudulenta de pagamentos. Por isso tratamos o teste de invasão de Open Finance como uma extensão do programa de segurança do setor financeiro, e não como um exercício isolado sobre uma única API.
Cobertura técnica
Cada camada do Open Finance, testada
Do handshake de certificado ao consentimento revogado, avaliamos os controles que o padrão exige — e os pontos onde a implementação costuma falhar.
APIs FAPI
Teste de invasão das interfaces de dados e pagamento contra o OWASP API Security Top 10, com foco em autorização quebrada (BOLA/BFLA), validação de assinatura e conformidade com o perfil FAPI.
mTLS e certificados
Validação da autenticação mútua TLS, da cadeia de certificados do diretório e dos sender-constrained tokens que amarram o access token ao certificado do cliente.
Dynamic Client Registration
Análise do registro dinâmico de clientes (DCR), gestão de software statements e do ciclo de vida do cliente — onde o abuso de registro abre porta para acesso não autorizado.
Consentimento e dados
Teste da jornada de consentimento — criação, escopo, expiração e revogação — e da aderência à LGPD no compartilhamento de dados pessoais entre participantes.
Iniciação de pagamento
Avaliação da segurança de pagamentos — abuso de lógica de negócio, manipulação de valor e beneficiário, e fraude na jornada de iniciação (Pix e demais arranjos).
Conformidade regulatória
Alinhamento com o arcabouço de segurança cibernética do Banco Central e do CMN aplicável às instituições financeiras, com evidências prontas para auditoria.
Metodologia
Como conduzimos a avaliação
Um teste de invasão orientado ao padrão Open Finance Brasil, combinando testes automatizados de conformidade FAPI com exploração manual de lógica.
Conformidade FAPI
Execução de suítes de conformidade FAPI e verificação de PKCE, PAR, JARM e sender-constrained tokens, além dos requisitos de assinatura de mensagem.
Exploração manual
Ataques de autorização, reutilização de consentimento, escalonamento de escopo, replay de token e manipulação da jornada de pagamento conduzidos manualmente.
Evidências e remediação
Relatório com CVSS, prova de conceito reproduzível, impacto de negócio e roadmap de correção priorizado — pronto para o time técnico e para a auditoria.
Por que a Berghem
Especialistas em segurança do setor financeiro
Segurança em Open Finance exige quem entenda tanto o padrão OAuth/OpenID quanto a regulação brasileira — e como um atacante encadeia as duas coisas.
Foco em FAPI e OAuth
Conhecemos o perfil Financial-grade API a fundo: onde a especificação é rígida e onde as implementações relaxam controles e abrem brechas exploráveis.
Contexto regulatório brasileiro
Traduzimos achados técnicos para a linguagem do Banco Central, do CMN e da LGPD, conectando cada falha ao requisito regulatório correspondente.
Prova de exploração real
Cada finding vem com prova de conceito e impacto demonstrado — não apenas o output de um scanner. Você sabe exatamente o que um atacante conseguiria.
Perguntas frequentes
Segurança em Open Finance — perguntas frequentes
O que é FAPI e por que importa no Open Finance?
FAPI (Financial-grade API) é o perfil de segurança da OpenID Foundation adotado pelo Open Finance Brasil. Ele endurece o OAuth 2.0 com PKCE, PAR, JARM e tokens vinculados ao certificado. Testamos se a implementação realmente cumpre o perfil ou apenas o declara.
A Berghem testa mTLS e a cadeia de certificados?
Sim. Validamos a autenticação mútua TLS, a cadeia de certificados emitida pelo diretório de participantes e os sender-constrained tokens, que amarram o access token ao certificado do cliente para impedir o reuso do token por terceiros. Também testamos se um access token capturado é aceito em uma conexão com certificado diferente.
Como avaliam o Dynamic Client Registration (DCR)?
Analisamos o registro dinâmico de clientes, a validação dos software statements e o ciclo de vida do cliente. Buscamos falhas que permitam registrar um cliente indevido, elevar escopos ou assumir a identidade de outra instituição participante. Cada achado inclui a prova de conceito que reproduz o registro abusivo.
O teste cobre a jornada de consentimento e a LGPD?
Cobre. Testamos criação, escopo, expiração e revogação de consentimento, verificando se dados continuam acessíveis após a revogação. Mapeamos os achados para os princípios da LGPD sobre compartilhamento de dados pessoais entre participantes. Também verificamos se tokens emitidos sob o consentimento antigo continuam válidos após a expiração.
O serviço ajuda na conformidade com o Banco Central?
Sim. As evidências produzidas alinham-se ao arcabouço de segurança cibernética do Banco Central e do CMN aplicável às instituições financeiras. O relatório serve como insumo direto para auditorias e para demonstrar a diligência de segurança exigida. Inclui o inventário de controles testados e o status de cada correção recomendada.
Vamos conversar
Teste a segurança do seu Open Finance
Em uma conversa de 30 minutos mapeamos o seu papel no ecossistema, as interfaces expostas e o escopo ideal do teste de invasão — de FAPI a consentimento.