Pentest em aplicação web para fintech
Pentest para fintech e instituição de pagamento
Atualizado em 2 de novembro de 2026. Próxima revisão prevista para fevereiro de 2027.
Por Julio Cesar Madeira Soares, especialista em segurança da informação, especialista em segurança cibernética e perito em computação forense.
Desde dezembro de 2025, as instituições autorizadas pelo Banco Central precisam de teste de intrusão pelo menos uma vez por ano, feito com independência e documentado. Testamos a parte que o cliente usa e a que o dinheiro atravessa: aplicação web, API, saldo, limite e transação.
Base em Governador Valadares/MG · Atendimento remoto em todo o Brasil
Se a sua fintech tem autorização do Banco Central, o teste de intrusão deixou de ser opcional. O art. 22-A, incluído em dezembro de 2025 na Resolução CMN nº 4.893/2021 e na Resolução BCB nº 85/2021, pede três coisas: periodicidade mínima anual, independência e imparcialidade, e resultados documentados com as vulnerabilidades e os planos de ação. O prazo de adequação das instituições em funcionamento terminou em 1º de março de 2026.
Esta página trata da parte de aplicação web e API, onde ficam conta, saldo, limite, Pix, cadastro e painel interno.
O que não prometemos. Pentest em aplicação web, sozinho, não esgota o art. 22-A. A norma fala em teste de intrusão sem fixar o escopo em detalhe, e quem responde ao regulador é a instituição. Rede, nuvem e os ambientes de Pix e STR, que têm exigências próprias, entram em outro escopo. Vale fechar essa definição com o seu compliance antes de contratar.
A regra
O que o Banco Central pede do teste de intrusão
Antes de falar de falha, vale saber qual norma se aplica à sua licença e o que ela espera ver documentado.
Qual norma vale para você. Instituição de pagamento, corretora e distribuidora autorizadas seguem a Resolução BCB nº 85/2021. As demais instituições autorizadas seguem a Resolução CMN nº 4.893/2021. Nas duas, o teste de intrusão está no art. 22-A.
Independência é requisito. O teste precisa ser feito por pessoa natural ou empresa especializada contratada para essa finalidade. O seu time interno pode continuar testando, porque a norma preserva isso, mas o teste contratado é o que cumpre esse inciso.
O resultado vira documento regulatório. Os resultados e os planos de ação entram no relatório previsto no art. 8º, §1º, V, e a documentação precisa ser guardada (art. 23, X), com o prazo contado da data de execução do teste. Um relatório sem data, sem escopo e sem plano de ação ajuda pouco nessa hora.
E quem opera sobre a licença de um parceiro. Essa fintech não é destinatária direta da regra. Só que os controles da instituição autorizada precisam abranger os sistemas de terceiros usados nos recursos dela, então o parceiro regulado tem motivo para cobrar o teste em contrato.
Na prática
Do requisito da norma ao que sai no relatório
Cada exigência precisa aparecer em algum lugar do trabalho. É assim que organizamos.
| Requisito | Onde está | Como aparece no trabalho |
|---|---|---|
| Periodicidade mínima anual | Art. 22-A, I | A data de execução fica registrada no relatório, para você controlar o próximo ciclo. |
| Independência e imparcialidade | Art. 22-A, II | Contratação específica para o teste. Testamos e relatamos, e não operamos nem corrigimos o sistema testado. |
| Vulnerabilidades documentadas | Art. 22-A, III | Cada falha com evidência, classificação de risco, caminho de exploração e correção recomendada. |
| Plano de ação para correção | Art. 22-A, III, e art. 8º, §1º, V | A recomendação é nossa. O plano, com prazo e responsável, é da instituição, e o relatório já chega pronto para alimentá-lo. |
| Correção tempestiva | Art. 3º, §8º, V | Reteste de cada falha corrigida, com data, para mostrar que ela foi fechada. |
| Segurança na integração entre sistemas | Res. CMN 4.893/2021, art. 3º, §2º, XIII | APIs e interfaces com parceiros entram no escopo combinado. O Banco Central ainda pode detalhar esses requisitos em regulamentação. |
O que testamos
Onde uma aplicação financeira costuma quebrar
Dado financeiro e dado de autenticação estão entre os critérios de incidente relevante da ANPD (Resolução CD/ANPD nº 15/2024, art. 5º), e aqui a falha também pode mexer em dinheiro.
Saldo e extrato de terceiro
Trocar o identificador de conta, transação ou comprovante para ver os dados de outro cliente, tanto na tela quanto na API.OWASP API1:2023 · A01:2025
Condição de corrida
Duas ordens ao mesmo tempo contra o mesmo saldo, ou o mesmo estorno, bônus e crédito usado duas vezes.WSTG-BUSL · OWASP A06:2025
Limites e valores
Limite diário, noturno ou por transação aplicado só na tela, valor negativo, arredondamento e taxa alterada na requisição.WSTG-BUSL · OWASP A06:2025
Fluxos de Pix na sua aplicação
Destinatário trocado depois da confirmação, requisição repetida, consulta de chave usada para levantar dados de cliente e comprovante aberto a terceiros.OWASP API6:2023 · A01:2025
Cadastro e recuperação de conta
Abertura de conta, prova de vida, troca de celular ou de dispositivo e redefinição de senha: os fluxos que decidem quem controla a conta.OWASP API2:2023 · A07:2025
Back-office e parceiros
Painel de atendimento, função de alterar limite ou liberar transação, API de parceiro e webhook de liquidação que aceita mensagem sem validar a origem.OWASP API5:2023 · A01:2025
Escopo
Como testar sem mexer em dinheiro de verdade
Os cenários mais importantes de uma fintech são justamente os que não dá para rodar de qualquer jeito.
Homologação primeiro
Preferimos homologação igual à produção, com saldo fictício e integrações simuladas. Cenário de valor ou de corrida só roda em produção com autorização expressa e contas combinadas.
Perfis e titulares
Pessoa física, pessoa jurídica e perfis do back-office, de preferência duas contas de cada, para testar se uma alcança o que é da outra.
O que não é seu
Testamos a sua aplicação. A infraestrutura do Banco Central e os sistemas de parceiros só entram com autorização de quem responde por eles.
Para as demais superfícies, como rede interna, nuvem e perímetro, veja Pentest e Pentest externo. O método do teste de aplicação, as modalidades e os limites do que o relatório prova estão em Pentest em aplicação web.
Responsável técnico
Quem conduz o teste
Julio Cesar Madeira Soares
Pentester e perito em computação forense
Atuo desde 2015 em teste de intrusão, pesquisa de vulnerabilidades e programas de bug bounty, e sou membro do Synack Red Team desde 2018. Tenho a certificação CompTIA PenTest+ e fiz o treinamento SEC542 do SANS, de teste de intrusão em aplicações web, sem prestar a certificação GIAC correspondente.
Como perito judicial, também trabalho em processos sobre Pix contestado e contratação eletrônica de crédito, e vejo como essas falhas aparecem depois, no litígio.
Ver certificações e reconhecimento públicoNossa base é Governador Valadares/MG, e o atendimento é remoto em todo o Brasil. Outros setores: Pentest para e-commerce, Pentest para SaaS e Pentest para saúde.
Dúvidas frequentes
Perguntas sobre pentest para fintech
O pentest é obrigatório para fintech?
Para instituição autorizada pelo Banco Central, sim: o art. 22-A das Resoluções CMN nº 4.893/2021 e BCB nº 85/2021 exige teste de intrusão com periodicidade mínima anual. Fintech que opera sobre a licença de um parceiro não é destinatária direta da regra, mas pode receber a exigência por contrato. Quem processa cartão também precisa olhar o PCI DSS.
O teste feito pelo time interno vale para o art. 22-A?
A norma pede teste feito com independência e imparcialidade por pessoa natural ou empresa especializada contratada para essa finalidade, sem prejuízo dos testes feitos pelas equipes da própria instituição. O teste interno continua útil, mas não ocupa o lugar do contratado.
Pentest em aplicação web atende sozinho à norma?
Não dá para afirmar isso. A norma fala em teste de intrusão sem detalhar o escopo, e a aplicação web é só uma parte dos recursos da instituição. Vale definir com o compliance o que entra no ciclo anual. Aplicação e API costumam ser o começo natural, por serem o que fica mais exposto.
Uma vez por ano é suficiente?
É o mínimo da norma. Se a fintech lança funcionalidade de pagamento, troca de parceiro ou muda o fluxo de autenticação no meio do ano, o teste do ano anterior já não fala sobre o que está em produção. Nesses casos, vale testar a mudança.
Dá para testar Pix sem movimentar dinheiro real?
Em boa parte, sim, em homologação e com integrações simuladas, testando a lógica da sua aplicação. O que depende de produção só roda com autorização expressa, contas combinadas e valores definidos antes. A infraestrutura do Banco Central não é alvo do teste.
A falha encontrada precisa ser comunicada ao Banco Central ou à ANPD?
Falha encontrada em teste é uma fragilidade, não um incidente. Ela entra no relatório e no plano de ação. Se o teste encontrar sinal de que alguém já explorou a falha, o caso muda de natureza: passa a ser possível incidente, e a instituição avalia as comunicações exigidas, inclusive a da ANPD em três dias úteis, quando for o caso (Resolução CD/ANPD nº 15/2024, art. 6º).
O teste deste ano já está no plano?
Diga qual é a sua licença, o que a aplicação faz e quando foi o último teste. Eu digo com franqueza o que faz sentido testar agora e o que precisa de outro escopo.
Falar sobre o teste