Como escolher empresa de pentest para fintech em São Paulo: critérios, o que pedem a Res. CMN 4.893 e a BCB 85, Open Finance, Pix e preço por alvo.
Para uma fintech, a empresa de pentest certa testa APIs, Open Finance, Pix e lógica de negócio com metodologia nomeada, entrega relatório que serve de evidência para o Banco Central e para o banco parceiro e inclui reteste. Na LC Sec, em São Paulo, o pentest custa de R$ 5 mil a R$ 15 mil por alvo.
Qual empresa de pentest uma fintech em São Paulo deve contratar? A que testa APIs, Open Finance, Pix e a lógica de negócio do produto com metodologia nomeada, entrega um relatório que serve de evidência para o Banco Central (Resolução CMN nº 4.893/2021 ou Resolução BCB nº 85/2021, conforme a autorização) e para o banco parceiro, inclui reteste com prazo por escrito e fecha escopo, prazo e valor antes de começar. A LC Sec, empresa de cibersegurança com sede em São Paulo, faz pentest para fintechs por R$ 5 mil a R$ 15 mil por alvo, com execução típica de 5 a 15 dias úteis e 1 reteste completo gratuito por frente em até 90 dias.
Este guia reúne os critérios de escolha, as normas que costumam definir o escopo, o que testar em cada frente de uma fintech e como o preço é montado. Ele complementa o guia de segurança para fintechs em crescimento, que trata do programa de segurança como um todo; aqui o foco é a contratação do teste de intrusão.
Antes de comparar preço, compare o que cada fornecedor se compromete a testar e a entregar. Estes são os critérios que mais separam um pentest útil para fintech de um relatório genérico:
Se você já tem propostas na mesa, o artigo como escolher uma empresa de pentest confiável traz perguntas de contratação que valem para qualquer setor.
Nenhuma norma do Banco Central usa a palavra "pentest" como obrigação isolada. O que as resoluções de segurança cibernética pedem é uma política, controles e procedimentos que incluam a realização periódica de testes e varreduras para detectar vulnerabilidades, além de plano de resposta a incidentes e relatório anual. Na prática, o pentest é a forma mais comum de demonstrar que esses controles resistem a um ataque real. A tabela resume as referências que costumam definir o escopo de uma fintech:
| Norma ou referência | A quem se aplica | O que pesa no pentest |
|---|---|---|
| Resolução CMN nº 4.893/2021 | Instituições financeiras e demais instituições autorizadas a funcionar pelo Banco Central | Política de segurança cibernética aprovada pela alta administração, controles que incluem testes e varreduras periódicos de vulnerabilidades, plano de ação e resposta a incidentes, relatório anual e requisitos para contratar processamento, armazenamento e nuvem |
| Resolução BCB nº 85/2021 | Instituições de pagamento autorizadas pelo Banco Central | Mesma lógica da 4.893 aplicada às instituições de pagamento: política, controles, testes, resposta a incidentes e contratação de nuvem |
| Resolução Conjunta nº 1/2020 e padrões do Open Finance Brasil | Participantes do Open Finance | APIs expostas a outras instituições, jornadas de consentimento e o perfil de segurança do ecossistema (OAuth 2.0, OpenID Connect/FAPI, mTLS e certificados) |
| Regulamento do Pix (Resolução BCB nº 1/2020) e Manual de Segurança do Pix | Participantes do Pix | Fluxo de pagamento, chaves, limites, mecanismos de prevenção a fraude e a comunicação com a infraestrutura do Pix |
| LGPD (Lei nº 13.709/2018) e Resolução CD/ANPD nº 15/2024 | Toda fintech que trata dados pessoais | Registro, em cada achado, de dados pessoais expostos; regras de comunicação de incidente de segurança à ANPD |
| PCI DSS | Quem armazena, processa ou transmite dados de cartão | Ambiente de dados de cartão, segmentação e evidências para a auditoria do padrão |
Resumo para orientação técnica, não é parecer jurídico. As normas recebem alterações: confirme a versão vigente no site do Banco Central e com o jurídico ou compliance da instituição.
E se a fintech não é autorizada pelo Banco Central? Muitas fintechs operam sobre a licença de um banco ou de uma instituição de pagamento parceira (modelos de correspondente e banking as a service). Nesse caso, as exigências costumam chegar por contrato e por due diligence do parceiro, que precisa demonstrar controle sobre os prestadores com quem compartilha dados e sistemas. O pedido de "relatório de pentest recente" vem daí. Para o detalhe de como o teste vira evidência de auditoria, veja pentest para compliance bancário na prática e a página de segurança cibernética para bancos e fintechs.
No Open Finance, a LC Sec publicou um guia sobre a versão 5.0 do Manual de Segurança do Open Finance, com o que já é exigível e como gerar evidência.
O escopo certo parte dos fluxos que movimentam dinheiro e dados. Em uma fintech, as frentes mais comuns são:
Um exemplo de como esses riscos aparecem na prática está no caso de pentest em Open Finance. Para transformar as frentes em checklist de escopo, há o guia gratuito Fintechs e Pix: o que testar no seu ambiente.
O teste em si é feito remotamente e pode atender fintechs de qualquer lugar do Brasil. A proximidade ajuda em outra parte do projeto: reunião de escopo com produto, engenharia, risco e compliance, leitura do relatório com a diretoria e alinhamento com o banco parceiro, quase sempre com sede ou time em São Paulo. A LC Sec fica em Pinheiros, em São Paulo, e atende todo o Brasil.
Se a sua empresa não é do setor financeiro, o artigo pentest empresarial em São Paulo cobre a contratação para outros segmentos.
Na LC Sec, o pentest custa de R$ 5 mil a R$ 15 mil por alvo. Alvo é uma aplicação web, uma API, um app mobile ou um ambiente (externo, interno ou em nuvem). O orçamento é a soma dos alvos. Dentro de cada alvo, o número de rotas, perfis de usuário e integrações define onde o valor fica na faixa.
Cada frente inclui 1 reteste completo gratuito em até 90 dias. Para fintechs que lançam funcionalidades com frequência, a gestão contínua de vulnerabilidades é vendida por pacote de pentest: você define os alvos e quantos ciclos de teste quer ao longo do ano, e cada achado é acompanhado até o reteste confirmar a correção.
Os fatores que mudam o preço estão em quanto custa um pentest e na tabela de escopo, prazo e reteste.
O pentest é conduzido sob responsabilidade de Luiz Claudio, fundador da LC Sec, com 12 anos de experiência em segurança em ambientes críticos dos setores financeiro, saúde e tecnologia.
Leia também: Teste de intrusão para startups em São Paulo: quando fazer, quanto custa e como escolher
As resoluções do Banco Central de segurança cibernética (CMN nº 4.893/2021 e BCB nº 85/2021) não usam a palavra pentest, mas exigem controles que incluem testes e varreduras periódicos para detectar vulnerabilidades. O pentest é a forma mais comum de demonstrar isso. Fintechs não autorizadas costumam receber a exigência por contrato do banco ou da instituição de pagamento parceira.
Na LC Sec, de R$ 5 mil a R$ 15 mil por alvo, sendo alvo uma aplicação web, uma API, um app mobile ou um ambiente. Uma fintech que testa API, app e ambiente externo contrata três alvos, entre R$ 15 mil e R$ 45 mil, com 1 reteste gratuito por frente em até 90 dias.
No mínimo uma vez por ano e sempre depois de mudanças relevantes, como nova API, entrada no Open Finance, nova funcionalidade de Pix, troca de provedor de nuvem ou de identidade. Quem lança com frequência costuma contratar um pacote de pentest com ciclos ao longo do ano.
Sim, com regras de engajamento: janelas combinadas, contas e dados de teste, limites de volume e um canal direto com o time da fintech e, quando necessário, com o banco parceiro. Quando existe ambiente de homologação equivalente, parte dos testes pode rodar nele.
Serve como evidência técnica de que os controles foram testados, desde que traga escopo, metodologia, achados com evidência, plano de correção e reteste. Ele não substitui a política de segurança cibernética, o plano de resposta a incidentes nem o relatório anual exigidos pela resolução aplicável.
Na LC Sec, a execução típica vai de 5 a 15 dias úteis, do início dos testes à entrega do relatório, conforme o número de alvos. O reteste acontece depois da janela de correção, em até 90 dias.
Comece pelo diagnóstico gratuito da sua exposição externa ou conheça o pentest da LC Sec: preço por alvo, relatório pronto para auditoria e reteste incluso.
Conteúdos relacionados: guia de segurança para fintechs em crescimento, segurança fintech: o que protege o negócio, pentest para compliance bancário, caso de pentest em Open Finance e fintechs terão mesmas obrigações dos bancos.