Pentest para fintechs: o laudo que o Banco Central, o banco parceiro e o cliente pedem
Desde dezembro de 2025, instituições autorizadas pelo Banco Central precisam de teste de intrusão anual feito por profissional independente. Testamos o que importa no seu modelo: o caminho do dinheiro, visto como um atacante o vê.
Quem pede o quê
| Quem | O que pede | Como atendemos |
|---|---|---|
| Banco Central (instituições autorizadas) | Teste de intrusão anual feito por profissional independente, com resultado e plano de ação guardados por 5 anos. Prazo de adequação: 1º de março de 2026. | Pentest anual com laudo formal, plano de correção e reteste |
| PCI DSS v4.0 (quem processa cartão) | Teste de intrusão periódico e depois de mudanças relevantes (requisito 11.4). | Teste com metodologia documentada, cobrindo aplicação e segmentação |
| Banco parceiro e adquirente | Questionário de segurança e evidência de teste independente. | Laudo compartilhável e sumário executivo |
| LGPD | Medidas técnicas de segurança proporcionais ao risco (art. 46). | Evidência de que as medidas foram testadas |
Fontes: Resolução CMN 5.274/2025 e Resolução BCB 538/2025 (publicadas em 18/12/2025); PCI DSS v4.0 (PCI Security Standards Council); Lei 13.709/2018. Confira sempre o texto oficial no site do Banco Central.
O que testamos no fluxo de dinheiro
Transação no request
Valor, status e destino manipuláveis pelo cliente? Cobrança de R$ 1 que debita R$ 1.000, webhook de "pago" forjado, estorno em cascata: cada fluxo testado como uma fraude real.
Contas e isolamento
Extrato de outro usuário, KYC que dá para pular, permissões de conta PJ e PF misturadas, sessão que sobrevive à troca de dispositivo.
APIs e parceiros
Open Finance, API de parceiro e chaves de integração: autorização por objeto, replay e escopo vazado.
Cadeia de pagamento
Integração com PSP, tokenização, checkout próprio, redirect e callback validados, onde uma falha vira fraude em escala.
Infraestrutura e segredos
Buckets, painéis expostos, credenciais de nuvem e segredos em repositório: o perímetro antes da aplicação.
Atendimento com IA
Chatbot que consulta saldo ou executa operação é um agente com poder financeiro. Teste específico com base no OWASP Top 10 para LLM.
Quer ver primeiro o que já está exposto? Verifique o site da sua fintech grátis e veja quanto custa um pentest.
Perguntas frequentes
Dúvidas comuns de fintechs e instituições de pagamento.
Auditoria chegando? O laudo sai antes.
Conversa de escopo gratuita de 20 minutos e proposta em até 24 horas úteis, no ritmo da sua conformidade.