Desde as Resoluções CMN 5.274/2025 e BCB 538/2025, o teste de intrusão deixou de ser boa prática: é exigência anual para instituições autorizadas pelo Banco Central, feita por empresa ou profissional independente.
As duas resoluções de dezembro de 2025 atualizaram o arcabouço de 2021 (CMN 4.893 e BCB 85) e mudaram o foco de ter política para comprovar controle funcionando. A CMN 5.274 vale para bancos, financeiras e SCDs; a BCB 538, para instituições de pagamento, corretoras e distribuidoras. O pentest precisa ser feito ao menos uma vez por ano por terceiro independente, cobrir também ativos de terceiros usados na operação, gerar plano de ação para o que for encontrado, e relatório e evidência de correção ficam à disposição do Banco Central por cinco anos. Conduzimos o teste com esse uso em mente: escopo justificado, achados priorizados por risco ao negócio e reteste documentado.
O que você recebe
- Pentest de aplicações, APIs e infraestrutura no escopo regulatório
- Teste da integração com parceiros e fornecedores que tocam a operação
- Relatório técnico e sumário executivo para a diretoria e o regulador
- Plano de ação priorizado para cada achado
- Reteste com evidência de correção, pronta para guardar por cinco anos
O que cobrimos
Aplicativo e internet banking
Autenticação, sessão, onboarding e recuperação de conta.
APIs de pagamento e Open Finance
Autorização entre contas, limites, idempotência e exposição de dados.
Lógica de negócio
Transferência, estorno, saldo e limite, onde a fraude acontece sem nenhuma falha "técnica".
Infraestrutura e nuvem
Perímetro, segmentação e acesso administrativo.
Indicado para
- Instituições de pagamento, SCDs e financeiras autorizadas pelo Banco Central
- Fintechs que precisam comprovar o teste anual na próxima inspeção
- Empresas em processo de autorização que querem chegar com o controle já rodando
- Fornecedores de fintech que recebem questionário de segurança do cliente
Como conduzimos
Escopo regulatório
Definimos o que entra no teste a partir dos sistemas e terceiros que sustentam a operação regulada.
Teste de aplicação e API
Análise manual de app, internet banking e APIs, com foco em autenticação e autorização.
Lógica de negócio e fraude
Tentamos mover dinheiro, saldo e limite por caminhos que o sistema não deveria permitir.
Relatório e plano de ação
Achados priorizados por risco, com o plano de ação que as resoluções pedem.
Reteste e evidência
Confirmação das correções, documentada para guardar à disposição do Banco Central.
Perguntas Frequentes
Fintech é obrigada a fazer pentest?
Se for autorizada pelo Banco Central, sim. A Resolução CMN 5.274/2025 e a BCB 538/2025 exigem teste de intrusão ao menos uma vez por ano, feito por empresa ou profissional independente, com documentação dos resultados e plano de ação.
Qual era o prazo para se adequar?
As instituições que já operavam tinham até 1º de março de 2026. Quem ainda não fez o teste do ciclo atual está em atraso com a norma.
Pentest feito pelo time interno vale?
Não para esse requisito. As resoluções pedem execução independente, justamente para que quem testa não seja quem construiu ou opera o sistema.
Por quanto tempo guardar o relatório?
Relatórios e evidências de correção precisam ficar disponíveis para o Banco Central por no mínimo cinco anos.