Segurança em Meios de Pagamento

PCI DSS 4.0.1 é o padrão de segurança obrigatório para qualquer empresa que armazene, processe ou transmita dados de cartão. A Berghem define o escopo e o ambiente de dados do titular (CDE), executa o gap assessment, apoia a remediação e entrega o pentest exigido pelo Requisito 11.4 — a evidência que o QSA precisa para o sign-off.

Nosso trabalho ofensivo valida a segmentação de rede, testa aplicações e APIs dentro do CDE e confirma que os controles resistem a ataques reais, não só a checklists. Veja a nossa consultoria PCI DSS e o pilar de compliance e auditoria para o ciclo completo de certificação.

O padrão organiza controles em torno de rede segura, proteção dos dados do titular, gestão de vulnerabilidades, controle de acesso, monitoramento contínuo e política de segurança. O nível do comerciante e o tipo de SAQ definem a profundidade da validação — do autoquestionário ao Relatório de Conformidade (RoC) assinado por um QSA.

PCI MPoC (Mobile Payments on COTS) é o padrão que permite transformar um smartphone comum em terminal de pagamento, lendo o cartão por aproximação e, quando aplicável, digitando o PIN na própria tela. Ele consolida e substitui os padrões anteriores SPoC e CPoC, ampliando o escopo de avaliação de software e de atestação contínua.

A Berghem avalia soluções MPoC sob a ótica do atacante — resiliência do app, proteção de PIN, integridade do dispositivo e do canal — alinhada às exigências de software security e attestation da norma. Detalhes na página dedicada de PCI MPoC.

O ecossistema EMV — cartões com chip, transações contactless, caixas eletrônicos (ATM) e terminais de ponto de venda (POS) — continua no centro da fraude com cartão presente. Avaliamos o fluxo de transação, a criptografia de dados de trilha e PIN, a proteção física e lógica dos terminais e a resistência a ataques como relay, skimming e manipulação de mensagens.

Para adquirentes, subadquirentes e fabricantes de terminais, unimos análise de firmware, teste de aplicações embarcadas e revisão do fluxo EMV, produzindo evidências que sustentam decisões de segurança e conformidade em toda a cadeia de aceitação.

Em ATMs, avaliamos jackpotting, ataques de black-box e manipulação do dispensador; em POS, a integridade do terminal e do software de captura. O objetivo é demonstrar impacto real — clonagem, desvio de transação ou extração de dados de cartão — antes que um fraudador o faça em produção.

Pagamentos instantâneos e o compartilhamento de dados no Open Finance ampliaram a superfície de ataque das instituições. Testamos as APIs de iniciação de pagamento, o fluxo de consentimento e os controles antifraude do PIX, buscando falhas de autorização, abuso de lógica de negócio e exposição de dados sensíveis.

Esse trabalho se conecta à segurança em Open Finance e à adequação às resoluções do BACEN/CMN sobre segurança cibernética, incluindo a 4.893. Para a visão setorial completa, veja segurança para bancos e fintechs.

Também revisamos os certificados e o mTLS entre participantes, o registro dinâmico de clientes e os escopos de consentimento, garantindo que a instituição não exponha dados além do que o titular autorizou nem aceite requisições forjadas por um participante malicioso do ecossistema.

Nosso trabalho segue metodologias reconhecidas — OWASP, PTES e NIST SP 800-115 — adaptadas ao contexto de pagamentos. Combinamos testes black-box, gray-box e white-box conforme o alvo, sempre com foco em impacto de negócio: fraude, desvio de valores e vazamento de dados de cartão.

Para o programa ofensivo completo, conheça o EHT — Ethical Hacking Team e a nossa segurança ofensiva, que estendem o teste de meios de pagamento a aplicações, APIs, redes internas e nuvem da instituição.