Pruebas de penetración y seguridad para fintech
En fintech se juntan el dinero, la regulación y las API, y una sola comprobación de autorización rota puede mover fondos o exponer los datos de todos los clientes. Probamos flujos de pago, API públicas y de socios, y los controles que esperan tus auditores y socios. Principalmente manual, bajo NDA y con una reevaluación gratuita dentro del plazo fijado en el SoW.
Qué está en juego en fintech
Los hallazgos más graves en fintech rara vez son un parche pendiente. Son fallos de lógica y de autorización en los flujos que manejan dinero y datos financieros personales, justo los problemas que los escáneres automatizados pasan por alto.
Lógica de movimiento de dinero
Condiciones de carrera, elusión de límites y manipulación de importes en los flujos de pago y transferencia. Las pruebas manuales están pensadas precisamente para detectar estos fallos lógicos.
Autorización rota entre inquilinos
BOLA/IDOR que permite a un cliente leer los extractos, saldos o facturas de otro. Es el fallo de API de alta severidad más común.
Exposición de datos de tarjetas
Delimitación o segmentación débil en torno al entorno de datos de tarjetas, donde PCI DSS exige pruebas activas en lugar de un escaneo.
Open banking y API de socios
Gestión de tokens, consentimientos y alcances en integraciones con terceros, donde una única concesión mal acotada puede sobreexponer datos.
Cómo probamos los sistemas fintech
Empezamos por los proyectos que encuentran los fallos que de verdad dañan a un producto financiero: pruebas de API autenticadas y multirrol, la propia aplicación, la red y la segmentación en torno al CDE, y la preparación para PCI DSS cuando necesitas demostrar el cumplimiento.
Fundamentado en los estándares a los que se somete el sector fintech
Las pruebas de aplicación y de API se alinean con OWASP WSTG v4.2, el OWASP API Security Top 10 (2023) y OWASP ASVS 5.0; las pruebas de red y de segmentación dan soporte a tus obligaciones del Requirement 11.4 de PCI DSS v4.0.1. Ofrecemos preparación y pruebas, pero no somos un QSA y no emitimos un Report on Compliance. Los hallazgos se puntúan con CVSS 3.1.
Qué puedes esperar de un proyecto fintech
Vexaro también construye software e infraestructura, además de probarlos. Esa mirada desde dentro explica por qué nuestros informes priorizan el riesgo de negocio y no el ruido de los escáneres. No nombramos a ningún cliente.
- Pruebas principalmente manuales y multirrol de los flujos de pago y las API
- Pruebas principalmente manuales que encuentran fallos lógicos en el movimiento de dinero y en la autorización
- Preparación para PCI DSS y las pruebas del Requirement 11.4 de las que depende
- Informes que priorizan el riesgo de negocio, con una reevaluación gratuita de las correcciones dentro del plazo fijado en el SoW
- NDA antes de cualquier acceso; evidencias cifradas y luego eliminadas o devueltas