Pentest para fintechs em São Paulo: como escolher (BACEN, Open Finance e Pix)
Como escolher empresa de pentest para fintech em São Paulo: critérios, o que pedem a Res. CMN 4.893 e a BCB 85, Open Finance, Pix e preço por alvo.
Resumo rápido
Para uma fintech, a empresa de pentest certa testa APIs, Open Finance, Pix e lógica de negócio com metodologia nomeada, entrega relatório que serve de evidência para o Banco Central e para o banco parceiro e inclui reteste. Na LC Sec, em São Paulo, o pentest custa de R$ 5 mil a R$ 15 mil por alvo.
Qual empresa de pentest uma fintech em São Paulo deve contratar? A que testa APIs, Open Finance, Pix e a lógica de negócio do produto com metodologia nomeada, entrega um relatório que serve de evidência para o Banco Central (Resolução CMN nº 4.893/2021 ou Resolução BCB nº 85/2021, conforme a autorização) e para o banco parceiro, inclui reteste com prazo por escrito e fecha escopo, prazo e valor antes de começar. A LC Sec, empresa de cibersegurança com sede em São Paulo, faz pentest para fintechs por R$ 5 mil a R$ 15 mil por alvo, com execução típica de 5 a 15 dias úteis e 1 reteste completo gratuito por frente em até 90 dias.
Este guia reúne os critérios de escolha, as normas que costumam definir o escopo, o que testar em cada frente de uma fintech e como o preço é montado. Ele complementa o guia de segurança para fintechs em crescimento, que trata do programa de segurança como um todo; aqui o foco é a contratação do teste de intrusão.
Como escolher uma empresa de pentest para fintech?
Antes de comparar preço, compare o que cada fornecedor se compromete a testar e a entregar. Estes são os critérios que mais separam um pentest útil para fintech de um relatório genérico:
- Domínio de APIs e autorização. Em fintech, boa parte do risco está em APIs: um usuário autenticado consegue ver ou movimentar recursos de outro cliente? Peça que o escopo cite o OWASP API Security Top 10 e testes de autorização por objeto, função e propriedade (BOLA, BFLA e BOPLA).
- Teste de lógica de negócio em fluxos de dinheiro. Transferências, Pix, limites, estornos, cashback, cupons e onboarding precisam ser testados manipulando requisições fora do app, não só com scanner.
- Conhecimento das normas do seu tipo de autorização. O fornecedor deve saber se a sua fintech responde à Resolução CMN nº 4.893/2021, à Resolução BCB nº 85/2021 ou a exigências contratuais de um banco parceiro, e montar o relatório para isso.
- Metodologia nomeada. OWASP (Top 10, ASVS, WSTG e API Security Top 10), PTES e NIST SP 800-115, com severidade em CVSS. Metodologia vaga costuma significar teste raso.
- Relatório que vira evidência. Resumo executivo para diretoria e comitê de riscos, achados com evidência reproduzível e correção por item, e um documento de encerramento após o reteste.
- Reteste incluso, com prazo. Sem reteste você não consegue provar ao auditor ou ao banco parceiro que a falha foi corrigida.
- Regras de engajamento para produção. Janelas de teste, contas e dados de teste, limites de volume e um canal de comunicação para não afetar clientes reais nem disparar o antifraude do parceiro sem aviso.
- Escopo, prazo e valor fechados por escrito. Lista de alvos, modalidade (black-box, grey-box ou white-box), dias de teste e o que fica fora do escopo.
Se você já tem propostas na mesa, o artigo como escolher uma empresa de pentest confiável traz perguntas de contratação que valem para qualquer setor.
O que o Banco Central e as regras de Open Finance e Pix pedem?
Nenhuma norma do Banco Central usa a palavra "pentest" como obrigação isolada. O que as resoluções de segurança cibernética pedem é uma política, controles e procedimentos que incluam a realização periódica de testes e varreduras para detectar vulnerabilidades, além de plano de resposta a incidentes e relatório anual. Na prática, o pentest é a forma mais comum de demonstrar que esses controles resistem a um ataque real. A tabela resume as referências que costumam definir o escopo de uma fintech:
| Norma ou referência | A quem se aplica | O que pesa no pentest |
|---|---|---|
| Resolução CMN nº 4.893/2021 | Instituições financeiras e demais instituições autorizadas a funcionar pelo Banco Central | Política de segurança cibernética aprovada pela alta administração, controles que incluem testes e varreduras periódicos de vulnerabilidades, plano de ação e resposta a incidentes, relatório anual e requisitos para contratar processamento, armazenamento e nuvem |
| Resolução BCB nº 85/2021 | Instituições de pagamento autorizadas pelo Banco Central | Mesma lógica da 4.893 aplicada às instituições de pagamento: política, controles, testes, resposta a incidentes e contratação de nuvem |
| Resolução Conjunta nº 1/2020 e padrões do Open Finance Brasil | Participantes do Open Finance | APIs expostas a outras instituições, jornadas de consentimento e o perfil de segurança do ecossistema (OAuth 2.0, OpenID Connect/FAPI, mTLS e certificados) |
| Regulamento do Pix (Resolução BCB nº 1/2020) e Manual de Segurança do Pix | Participantes do Pix | Fluxo de pagamento, chaves, limites, mecanismos de prevenção a fraude e a comunicação com a infraestrutura do Pix |
| LGPD (Lei nº 13.709/2018) e Resolução CD/ANPD nº 15/2024 | Toda fintech que trata dados pessoais | Registro, em cada achado, de dados pessoais expostos; regras de comunicação de incidente de segurança à ANPD |
| PCI DSS | Quem armazena, processa ou transmite dados de cartão | Ambiente de dados de cartão, segmentação e evidências para a auditoria do padrão |
Resumo para orientação técnica, não é parecer jurídico. As normas recebem alterações: confirme a versão vigente no site do Banco Central e com o jurídico ou compliance da instituição.
E se a fintech não é autorizada pelo Banco Central? Muitas fintechs operam sobre a licença de um banco ou de uma instituição de pagamento parceira (modelos de correspondente e banking as a service). Nesse caso, as exigências costumam chegar por contrato e por due diligence do parceiro, que precisa demonstrar controle sobre os prestadores com quem compartilha dados e sistemas. O pedido de "relatório de pentest recente" vem daí. Para o detalhe de como o teste vira evidência de auditoria, veja pentest para compliance bancário na prática e a página de segurança cibernética para bancos e fintechs.
No Open Finance, a LC Sec publicou um guia sobre a versão 5.0 do Manual de Segurança do Open Finance, com o que já é exigível e como gerar evidência.
O que testar no pentest de uma fintech?
O escopo certo parte dos fluxos que movimentam dinheiro e dados. Em uma fintech, as frentes mais comuns são:
- APIs e Open Finance: autorização entre clientes e entre instituições, consentimento (escopo, validade, revogação e reutilização), tokens, limitação de requisições e consistência entre versões de API.
- Pix e fluxo de pagamento: manipulação de valores e destinatários, limites por transação e por período, condições de corrida em débito, estornos e devoluções, e enumeração de chaves e dados de terceiros.
- App mobile, onboarding e KYC: armazenamento local de dados, proteção da comunicação com a API, desvio de etapas do cadastro e de validações de identidade.
- Identidade e backoffice: recuperação de conta, troca de dispositivo, MFA, painéis administrativos e de suporte com acesso a dados de clientes.
- Nuvem e superfície externa: permissões excessivas, segredos expostos, ambientes de homologação publicados e serviços esquecidos.
Um exemplo de como esses riscos aparecem na prática está no caso de pentest em Open Finance. Para transformar as frentes em checklist de escopo, há o guia gratuito Fintechs e Pix: o que testar no seu ambiente.
Por que contratar pentest de uma empresa em São Paulo?
O teste em si é feito remotamente e pode atender fintechs de qualquer lugar do Brasil. A proximidade ajuda em outra parte do projeto: reunião de escopo com produto, engenharia, risco e compliance, leitura do relatório com a diretoria e alinhamento com o banco parceiro, quase sempre com sede ou time em São Paulo. A LC Sec fica em Pinheiros, em São Paulo, e atende todo o Brasil.
Se a sua empresa não é do setor financeiro, o artigo pentest empresarial em São Paulo cobre a contratação para outros segmentos.
Quanto custa um pentest para fintech?
Na LC Sec, o pentest custa de R$ 5 mil a R$ 15 mil por alvo. Alvo é uma aplicação web, uma API, um app mobile ou um ambiente (externo, interno ou em nuvem). O orçamento é a soma dos alvos. Dentro de cada alvo, o número de rotas, perfis de usuário e integrações define onde o valor fica na faixa.
- Exemplo com 1 alvo: só a API de Open Finance, de R$ 5 mil a R$ 15 mil.
- Exemplo com 3 alvos: API, app mobile e ambiente externo, de R$ 15 mil a R$ 45 mil.
Cada frente inclui 1 reteste completo gratuito em até 90 dias. Para fintechs que lançam funcionalidades com frequência, a gestão contínua de vulnerabilidades é vendida por pacote de pentest: você define os alvos e quantos ciclos de teste quer ao longo do ano, e cada achado é acompanhado até o reteste confirmar a correção.
Os fatores que mudam o preço estão em quanto custa um pentest e na tabela de escopo, prazo e reteste.
Como a LC Sec conduz o pentest em fintechs?
- Reunião de escopo sem custo: fluxos críticos, alvos, modalidade, janelas e o que o Banco Central ou o banco parceiro precisa ver no relatório.
- Proposta fechada: alvos, prazo, valor e regras de engajamento por escrito.
- Teste manual: guiado por OWASP (Top 10, ASVS, WSTG e API Security Top 10), com as fases do PTES e do NIST SP 800-115.
- Relatório técnico e executivo: severidade em CVSS v3.1, mapeamento MITRE ATT&CK, evidência e correção por achado, com registro de dados pessoais expostos.
- Reunião de leitura: ordem de correção recomendada para engenharia, risco e diretoria.
- Reteste e encerramento: 1 reteste completo gratuito por frente em até 90 dias e documento de encerramento para auditores, banco parceiro e clientes.
O pentest é conduzido sob responsabilidade de Luiz Claudio, fundador da LC Sec, com 12 anos de experiência em segurança em ambientes críticos dos setores financeiro, saúde e tecnologia.
Leia também: Teste de intrusão para startups em São Paulo: quando fazer, quanto custa e como escolher
Perguntas frequentes
Fintech é obrigada a fazer pentest?
As resoluções do Banco Central de segurança cibernética (CMN nº 4.893/2021 e BCB nº 85/2021) não usam a palavra pentest, mas exigem controles que incluem testes e varreduras periódicos para detectar vulnerabilidades. O pentest é a forma mais comum de demonstrar isso. Fintechs não autorizadas costumam receber a exigência por contrato do banco ou da instituição de pagamento parceira.
Quanto custa um pentest para fintech em São Paulo?
Na LC Sec, de R$ 5 mil a R$ 15 mil por alvo, sendo alvo uma aplicação web, uma API, um app mobile ou um ambiente. Uma fintech que testa API, app e ambiente externo contrata três alvos, entre R$ 15 mil e R$ 45 mil, com 1 reteste gratuito por frente em até 90 dias.
Com que frequência uma fintech deve fazer pentest?
No mínimo uma vez por ano e sempre depois de mudanças relevantes, como nova API, entrada no Open Finance, nova funcionalidade de Pix, troca de provedor de nuvem ou de identidade. Quem lança com frequência costuma contratar um pacote de pentest com ciclos ao longo do ano.
O pentest pode ser feito em produção sem afetar clientes?
Sim, com regras de engajamento: janelas combinadas, contas e dados de teste, limites de volume e um canal direto com o time da fintech e, quando necessário, com o banco parceiro. Quando existe ambiente de homologação equivalente, parte dos testes pode rodar nele.
O relatório de pentest serve para o Banco Central e para o banco parceiro?
Serve como evidência técnica de que os controles foram testados, desde que traga escopo, metodologia, achados com evidência, plano de correção e reteste. Ele não substitui a política de segurança cibernética, o plano de resposta a incidentes nem o relatório anual exigidos pela resolução aplicável.
Quanto tempo leva um pentest em uma fintech?
Na LC Sec, a execução típica vai de 5 a 15 dias úteis, do início dos testes à entrega do relatório, conforme o número de alvos. O reteste acontece depois da janela de correção, em até 90 dias.
Pentest para fintechs com a LC Sec
Comece pelo diagnóstico gratuito da sua exposição externa ou conheça o pentest da LC Sec: preço por alvo, relatório pronto para auditoria e reteste incluso.
Conteúdos relacionados: guia de segurança para fintechs em crescimento, segurança fintech: o que protege o negócio, pentest para compliance bancário, caso de pentest em Open Finance e fintechs terão mesmas obrigações dos bancos.
Compartilhe nas redes sociais:
