Segurança no Open Finance: o que muda quando dados bancários circulam entre instituições

Um sistema desenhado para facilitar o compartilhamento de dados entre instituições financeiras resolve um problema e cria outro: quanto mais lugares um dado circula, mais lugares precisam protegê-lo corretamente. O Open Finance não é exceção a essa regra geral de segurança da informação.

Este texto não descreve um incidente específico. Descreve o mecanismo geral - o que muda estruturalmente quando dados bancários deixam de ficar concentrados em uma única instituição - e os controles que, segundo entidades de referência em segurança, reduzem o risco correspondente.

Apuração · o que é verificável

O que estruturalmente muda

No modelo anterior, um dado bancário ficava, majoritariamente, sob a guarda de uma única instituição. No modelo de compartilhamento, o mesmo dado pode estar replicado em múltiplas instituições participantes, cada uma responsável por protegê-lo dentro de sua própria infraestrutura.

Isso significa que a segurança do conjunto passa a depender da segurança de cada participante individualmente. Uma falha de controle em uma instituição menor pode expor dados que, na origem, pertenciam a uma instituição com padrão de segurança mais alto.

O consentimento funciona como um controle de acesso: sem ele, o compartilhamento não deveria ocorrer. Por isso, mecanismos que autenticam com segurança quem está de fato concedendo o consentimento, e não um golpista se passando pelo cliente, são a primeira linha de defesa do arranjo.

Contexto

Estruturas de referência como o Cybersecurity Framework do NIST organizam a segurança da informação em funções que vão de identificação de ativos e riscos a proteção, detecção, resposta e recuperação. Aplicado ao Open Finance, isso significa que a defesa não se resume a uma senha forte: envolve monitorar continuamente tentativas de acesso indevido.

Autenticação multifator, ou seja, exigir mais de uma evidência de identidade para autorizar uma ação sensível, é uma das medidas mais citadas por entidades de segurança para reduzir o risco de um consentimento fraudulento. Uma senha vazada sozinha deixa de ser suficiente para autorizar um compartilhamento.

A revogação de consentimento é o outro lado da moeda. Um cliente que percebe uma autorização suspeita precisa conseguir revogá-la de forma simples e imediata, sem depender de atendimento telefônico demorado. A velocidade da revogação é, na prática, parte do desenho de segurança.

Interpretação editorial da sysINFO

Análise sysINFO

A leitura da sysINFO é que a segurança do Open Finance depende mais de processo do que de tecnologia isolada. Autenticação forte, monitoramento e revogação rápida são práticas conhecidas há anos em segurança da informação; o desafio é aplicá-las de forma consistente em um ecossistema com muitos participantes de portes diferentes.

Isso cria um risco de elo mais fraco: a segurança do usuário depende não apenas da instituição com quem ele tem relacionamento direto, mas também de todas as demais instituições que, mediante consentimento, chegam a acessar seus dados ao longo do tempo.

Registramos que este bloco é interpretação editorial da sysINFO, não relato de fato. Verificáveis são as práticas de segurança recomendadas por estruturas de referência como o NIST. A avaliação sobre o risco de elo mais fraco no ecossistema é leitura nossa.

Recorte brasileiro

Impacto para o Brasil

No Brasil, o tratamento de dados pessoais no Open Finance está sujeito à Lei Geral de Proteção de Dados, o que inclui a obrigação de comunicar incidentes de segurança que possam gerar risco relevante aos titulares. A Autoridade Nacional de Proteção de Dados é o órgão responsável por receber essa comunicação.

Um padrão de golpe já conhecido em outros contextos de pagamento instantâneo é a manipulação da vítima para que ela mesma autorize, sob pressão ou engano, um compartilhamento ou uma transação. Nenhuma tecnologia de autenticação elimina completamente esse tipo de engenharia social.

Por isso, orientações de instituições financeiras costumam repetir a mesma recomendação básica: nenhuma instituição legítima pede para o cliente ler em voz alta um código de confirmação recebido por mensagem, nem pressiona para autorizar algo imediatamente sob ameaça de perda de prazo.

Agenda de acompanhamento

O que observar agora

A tecnologia de autenticação evolui, mas o ponto mais frágil do sistema costuma continuar sendo a decisão humana sob pressão.

• Se novas exigências mínimas de autenticação serão impostas a todos os participantes do arranjo, independentemente do porte.
• Como as instituições vão simplificar a revogação de consentimento para o usuário comum.
• Se campanhas de conscientização sobre golpes de engenharia social vão acompanhar o crescimento do compartilhamento de dados.
• Que padrão de resposta a incidentes será exigido de participantes menores do ecossistema.