Exigências de Pentest para Bancos e Instituições Financeiras

Resumo:

• O setor financeiro brasileiro lidera ataques cibernéticos pelo segundo ano consecutivo, concentrando mais de 20% de todos os incidentes registrados no país em 2025. 
• O Banco Central registrou 68 incidentes no sistema financeiro nacional apenas entre janeiro e outubro de 2025, superando o total de 2024 inteiro. 
• O BCB 538/2025 e o CMN 5274/2025 exigem pentest anual por profissional independente em todos os sistemas críticos, com retenção de evidências por 5 anos e inclusão de ativos de terceiros no escopo. O prazo de adequação encerrou em 1º de março de 2026.
• O escopo mínimo esperado do pentest para bancos inclui internet banking, mobile banking, APIs de Pix, ambiente de cloud, Active Directory e sistemas integrados ao STR e à RSFN. Ativos de terceiros que integram o ambiente crítico também entram no escopo regulatório.
• O relatório de pentest precisa conter evidência técnica de exploração por achado, mapeamento regulatório explícito e laudo de reteste. Sem esses elementos, o documento não serve como evidência em auditoria do BACEN ou do COAF.
• O pentest anual não é suficiente para quem processa Pix. A Resolução BCB 538 exige avaliação após mudanças significativas na infraestrutura e documentação contínua de vulnerabilidades identificadas e tratadas.

O Relatório de Estabilidade Financeira de 2025 do Banco Central reconhece que “um conjunto razoável de participantes do sistema financeiro não dispõe de mecanismos adequados” para gerenciar vulnerabilidades em APIs e serviços de terceiros. Essa confissão institucional tem uma consequência direta: o regulador passou a exigir evidências técnicas de que os controles realmente funcionam.

O pentest para bancos é o instrumento central dessa evidência. Este artigo explica o que a regulação vigente exige de bancos e instituições financeiras autorizadas, quais sistemas devem entrar no escopo, como o relatório precisa ser estruturado para uso em auditoria e como escolher um fornecedor com experiência no ambiente regulado.

Por que bancos são alvos prioritários de ataques cibernéticos

Os bancos combinam ativos de alto valor imediato, infraestrutura complexa e legada, superfície de ataque crescente via open banking e Pix, e obrigação de disponibilidade contínua. Essa combinação torna ataques de ransomware eficazes como instrumento de extorsão. 

Dados do setor 

• Ataques ao setor financeiro cresceram 115% entre 2024 e 2025, de 864 para 1.858 ocorrências globais (IT Section).
• Instituições financeiras brasileiras sofreram média de 1.752 ataques semanais cada entre set/2024 e fev/2025 (TI Inside).
• O Brasil está entre os 5 países mais visados por ataques a instituições financeiras no mundo (CrowdStrike).
• O setor financeiro concentrou mais de 20% de todos os incidentes cibernéticos registrados no Brasil em 2025 (CISO Advisor).
• O grupo brasileiro PLUMP SPIDER tornou-se o segundo adversário mais ativo do mundo contra o setor financeiro em 2026 (CrowdStrike).

Além do crime financeiro tradicional, o Brasil passou a ser alvo de operações de espionagem patrocinadas por estados-nação. O grupo HOLLOW PANDA, ligado à China, realizou invasões confirmadas em instituições financeiras brasileiras ao longo de 2025, com foco em coleta de inteligência estratégica.

O que a regulação exige

Três frameworks regulatórios se aplicam simultaneamente à maioria dos bancos e instituições financeiras autorizadas no Brasil. É comum que a mesma instituição precise atender aos três:

Para a maioria dos bancos brasileiros, as três regulações se sobrepõem. Um banco que emite cartões, opera Pix e é autorizado pelo BCB está sujeito às três simultaneamente. O escopo do pentest precisa ser definido para cobrir todos os sistemas relevantes para cada framework.

O que deve entrar no escopo do pentest para bancos

A definição do escopo é uma das partes mais importantes de todo o processo. Um pentest com escopo insuficiente gera um relatório que não serve como evidência regulatória, mesmo que tenha sido executado por profissional certificado.

Sistemas de alto risco: prioridade máxima

• Internet banking e plataformas de atendimento ao cliente: principais interfaces de ataque externo concentram autenticação, transações e dados de clientes.
• Mobile banking (iOS e Android): armazenamento local de dados, proteção contra engenharia reversa, comunicação com o backend e controle de sessão.
• APIs de integração com o Pix, TED e DOC: vetores de maior exploração, segundo o Inside Pentesting 2026, APIs dobraram como superfície de ataque no setor financeiro entre 2024 e 2025.
• Ambientes de cloud (AWS, Azure, GCP, M365): configuração de IAM, permissões, acesso a dados de clientes em repouso e em trânsito.

Sistemas críticos de infraestrutura

• Conexões com o STR (Sistema de Transferência de Reservas) e com a RSFN (Rede do Sistema Financeiro Nacional): exigem isolamento lógico e físico conforme BCB 538.
• Active Directory e controles de identidade: movimentação lateral, privilege escalation e acesso a sistemas administrativos.
• Sistemas de core banking e ERPs financeiros: acesso a dados de contas, histórico de transações e registros de clientes.
• Ambientes de terceiros integrados ao ambiente crítico: provedores de cloud, biometria, antifraude e processamento. O banco é o responsável regulatório por falhas nesses sistemas.

O que as resoluções exigem especificamente sobre escopo

A Resolução BCB 538/2025 estabelece que ativos de terceiros integrados ao ambiente crítico devem estar no escopo do pentest. Isso inclui os provedores de nuvem usados no processamento de transações do Pix e do STR. Provedores de cloud não são isentos de avaliação apenas por serem terceiros, a responsabilidade regulatória permanece com a instituição financeira.

Como o relatório precisa ser estruturado para evidência regulatória

Existem elementos específicos que precisam estar presentes no relatório para que ele sirva de evidência perante o Banco Central e os auditores de PCI DSS:

Relatórios de pentest que listam vulnerabilidades sem evidência técnica de exploração não atendem o requisito regulatório. O BACEN, em processos de auditoria, distingue entre um relatório gerado por ferramenta automatizada e um relatório com exploração manual documentada. Apenas o segundo serve como evidência de que os controles foram efetivamente testados.

Frequência e timing: pentest anual não é suficiente

A Resolução BCB 538/2025 estabelece pentest anual como mínimo, mas também exige avaliação técnica após mudanças significativas na infraestrutura. Para bancos com desenvolvimento ativo, que lançam novas versões do internet banking, integram novos parceiros de open banking ou migram workloads para a nuvem, o ciclo anual frequentemente não cobre o ambiente real que está em produção.

Situações que exigem pentest adicional fora do ciclo anual:

• Migração de sistemas de core banking para cloud ou troca de provedor.
• Integração de novos parceiros via APIs de open banking ou Pix.
• Lançamento de novas versões do internet banking ou mobile banking.
• Aquisição de outras instituições ou incorporação de sistemas herdados.
• Incidente de segurança que afetou sistemas críticos.

Para o PCI DSS 4.0, o reteste após remediação é obrigatório e precisa estar documentado antes da auditoria com o QSA. Achados críticos identificados no pentest e não remediados no prazo acordado são evidência de não conformidade.

Como escolher um fornecedor de pentest para o setor financeiro

O mercado de pentest tem fornecedores generalistas e fornecedores com experiência comprovada em ambiente regulado financeiro. Pentests em APIs de Pix, em conexões com o STR e em ambientes que precisam de isolamento lógico exigem conhecimento específico da infraestrutura financeira.

Critérios específicos para o setor financeiro

• Experiência comprovada em instituições financeiras. Peça referências ou cases de projetos similares ao seu porte e tipo de sistema.
• Conhecimento das regulações BCB 538, CMN 5274 e PCI DSS. O fornecedor precisa conseguir mapear achados para requisitos regulatórios específicos.
• Profissionais com certificações verificáveis, como OSCP, CRTO, eWPTX ou CEH. Confirme quem vai executar o teste.
• Relatório com evidência técnica de exploração por achado. Peça um exemplo anonimizado antes de contratar. 
• Reteste incluso e documentado formalmente. O laudo de reteste é o documento que confirma a remediação para auditores. Fornecedores que cobram reteste à parte entregam um serviço incompleto para fins regulatórios.
• Carta de atestado formal. Documento que identifica o fornecedor, o profissional, as certificações e o período de cobertura. Exigido pelo BACEN e pelo QSA de PCI DSS.

Perguntas que você deve fazer antes de contratar

1. Quem vai executar o teste? Qual a certificação e a experiência específica com sistemas financeiros?
2. O relatório vai mapear achados para os requisitos da BCB 538 e do PCI DSS?
3. O reteste está incluso? Por quanto tempo? Gera laudo formal?
4. Vocês têm experiência com testes em APIs de Pix, conexões com o STR ou ambientes com isolamento lógico exigido pelo BACEN?
5. Como tratam a retenção de documentação exigida pelas resoluções?

Pentest para bancos e instituições financeiras com a Vantico

A Vantico realiza pentest em bancos, cooperativas de crédito e instituições autorizadas pelo Banco Central com metodologia alinhada às Resoluções BCB 538/2025 e CMN 5274/2025. 

Nossos relatórios incluem evidência técnica de exploração por achado, mapeamento explícito para requisitos regulatórios, relatório de reteste e carta de atestado, ou seja, todos os elementos exigidos em processos de auditoria do BACEN e de certificação PCI DSS, e com a documentação estruturada para retenção pelo prazo de 5 anos exigido pelas resoluções.

Além disso, disponibilizamos o reteste ilimitado por 90 dias sem custo adicional. 

Comece agora o seu pentest e inicie o processo de certificação.

FAQ: Perguntas frequentes

O pentest é obrigatório para bancos no Brasil?

Sim, desde 1º de março de 2026. A Resolução BCB nº 538/2025 e a Resolução CMN nº 5.274/2025 exigem pentest anual por profissional independente em todos os sistemas críticos de instituições autorizadas pelo Banco Central. Para bancos e financeiras que também processam dados de cartão, o PCI DSS 4.0 adiciona exigências complementares via Requisito 11.3. Instituições que não realizaram o pentest após o prazo de adequação estão em desconformidade e sujeitas à auditoria imediata do BACEN.

O que o BCB 538 exige de pentest especificamente?

A Resolução BCB 538/2025 exige: pentest anual por profissional independente em todos os sistemas críticos, inclusão de ativos de terceiros integrados ao ambiente crítico no escopo (incluindo provedores de cloud que processam transações do Pix e do STR), documentação do plano de remediação com responsável e prazo, reteste confirmando que as vulnerabilidades foram corrigidas, retenção de toda a documentação por 5 anos e avaliação técnica adicional após mudanças significativas na infraestrutura.

O que deve entrar no escopo do pentest de um banco?

O escopo mínimo esperado inclui internet banking, mobile banking (iOS e Android), APIs de integração com o Pix e o TED, ambiente de cloud utilizado no processamento de transações, Active Directory e controles de identidade, sistemas de core banking, e conexões com o STR e a RSFN. Ativos de terceiros integrados ao ambiente crítico, como provedores de cloud, biometria e antifraude, também devem entrar no escopo conforme a Resolução BCB 538/2025. A responsabilidade regulatória pelo ambiente de terceiros permanece com a instituição financeira.

Um relatório gerado por ferramenta automatizada atende o BCB 538?

Não. A Resolução BCB 538/2025 exige pentest por profissional independente. O BACEN distingue entre relatório de scan e relatório de pentest com exploração manual documentada. Apenas o segundo serve como evidência de que os controles foram efetivamente testados por alguém tentando explorá-los.

Com que frequência um banco deve fazer pentest?

Anual é o mínimo exigido pela BCB 538/2025 e CMN 5274/2025. Além do ciclo anual, as resoluções exigem avaliação técnica após mudanças significativas na infraestrutura, o que inclui migração para cloud, integração de novos parceiros via APIs de open banking ou Pix, e lançamento de novas versões de sistemas críticos. Para instituições com desenvolvimento ativo, o ciclo anual frequentemente não cobre o ambiente real que está em produção ao longo do ano.

Qual a diferença entre pentest e scan de vulnerabilidades para fins regulatórios?

Scan de vulnerabilidades é um processo automatizado que identifica padrões de falhas conhecidas. É útil para monitoramento contínuo, mas não satisfaz o requisito de pentest das resoluções do Banco Central. O pentest é conduzido por um profissional humano que explora vulnerabilidades no contexto específico do ambiente testado, documenta o caminho de ataque com evidência técnica e valida o impacto. O relatório de pentest com evidência de exploração é o que auditores do BACEN e QSAs de PCI DSS verificam.

Como escolher um fornecedor de pentest para o setor financeiro?

Além dos critérios gerais de qualidade, como metodologia documentada, profissionais certificados, relatório com evidência de exploração, reteste incluso e carta de atestado, os fornecedores para o setor financeiro devem ter experiência específica com APIs do Pix, conexões com o STR, ambientes com isolamento lógico exigido pelo BACEN e mapeamento de achados para requisitos das resoluções BCB/CMN e do PCI DSS. Peça um exemplo de relatório anonimizado antes de contratar e confirme quem vai executar o teste.

O pentest cobre os sistemas de terceiros que o banco usa?

Deve cobrir. A Resolução BCB 538/2025 estabelece que ativos de terceiros integrados ao ambiente crítico entram no escopo do pentest, incluindo provedores de cloud que processam transações do Pix e do STR. O banco é o responsável regulatório por falhas nesses sistemas, mesmo que sejam operados por terceiros. Fornecedores de pentest com experiência no setor financeiro sabem como estruturar o escopo para cobrir esses ativos dentro dos limites das políticas de penetration testing dos provedores de cloud.