Testes de intrusão e segurança para fintech
Na fintech cruzam-se o dinheiro, a regulação e as APIs, e uma única verificação de autorização quebrada pode movimentar fundos ou expor os dados de todos os clientes. Testamos fluxos de pagamento, APIs públicas e de parceiros, e os controlos que os seus auditores e parceiros esperam. Sobretudo manual, ao abrigo de NDA e com um reteste gratuito dentro do prazo fixado no SoW.
O que está em jogo na fintech
Os achados mais graves na fintech raramente são um patch em falta. São falhas de lógica e de autorização nos fluxos que tratam dinheiro e dados financeiros pessoais, precisamente os problemas que os scanners automatizados não apanham.
Lógica de movimentação de dinheiro
Condições de corrida, contorno de limites e adulteração de montantes em fluxos de pagamento e transferência. Os testes manuais existem precisamente para apanhar este tipo de falhas lógicas.
Autorização quebrada entre inquilinos
BOLA/IDOR que permite a um cliente ler os extratos, saldos ou faturas de outro. É a falha de API de alta severidade mais comum.
Exposição de dados de cartões
Definição de âmbito ou segmentação fracas em torno do ambiente de dados de cartões, onde o PCI DSS exige testes ativos em vez de uma análise.
APIs de open banking e de parceiros
Gestão de tokens, consentimentos e âmbitos nas integrações de terceiros, onde uma única concessão com âmbito incorreto pode sobreexpor dados.
Como testamos sistemas de fintech
Começamos pelos trabalhos que encontram as falhas que realmente prejudicam um produto financeiro: testes de API autenticados com várias funções, a própria aplicação, a rede e a segmentação em torno do CDE e, quando precisa de demonstrar conformidade, a preparação para PCI DSS.
Assente nos padrões a que a fintech está sujeita
Os testes de aplicação e de API seguem o OWASP WSTG v4.2, o OWASP API Security Top 10 (2023) e o OWASP ASVS 5.0; os testes de rede e de segmentação apoiam as suas obrigações do Requisito 11.4 do PCI DSS v4.0.1. Prestamos preparação e testes, mas não somos um QSA e não emitimos um Report on Compliance. Os achados são pontuados com CVSS 3.1.
O que esperar de um projeto de fintech
A Vexaro também constrói software e infraestrutura, além de os testar. É esse olhar de dentro que faz com que os nossos relatórios priorizem o risco de negócio, e não o ruído dos scanners. Não nomeamos clientes.
- Testes sobretudo manuais, com várias funções, dos fluxos de pagamento e das APIs
- Testes primeiro manuais que encontram falhas de lógica de movimentação de dinheiro e de autorização
- Preparação para PCI DSS e os testes do Requisito 11.4 de que depende
- Relatórios que priorizam o risco de negócio, com um reteste gratuito das correções dentro do prazo fixado no SoW
- NDA antes de qualquer acesso; evidências cifradas e depois eliminadas ou devolvidas