Pentest para fintech e banco digital: o que a Resolução CMN 4.893 exige (2026)

Sim — hoje o Banco Central exige pentest. Desde a Resolução CMN 5.274, de 18 de dezembro de 2025, a Resolução CMN 4.893 (a “Bacen 4.893”) inclui expressamente os testes de intrusão entre os controles mínimos de segurança cibernética das instituições autorizadas a funcionar pelo Banco Central. O teste precisa ser no mínimo anual, feito por profissional ou empresa especializada independente e documentado, com as falhas encontradas e o plano de correção. Para instituições de pagamento, corretoras e distribuidoras, a mesma regra está na Resolução BCB 85.

Este guia mostra o que mudou, quem precisa cumprir, o que exatamente a norma pede do pentest, o que ele deve cobrir em uma fintech e como transformar o relatório em evidência para o Banco Central.

O que mudou em dezembro de 2025

A redação original da Resolução CMN 4.893, de 2021, já pedia “a realização periódica de testes e varreduras para detecção de vulnerabilidades”, sem detalhar como. A Resolução CMN 5.274 transformou esse item em uma lista de controles mínimos e criou regras próprias para o pentest:

A resolução entrou em vigor na publicação, e as instituições já em funcionamento tinham até 1º de março de 2026 para se adequar.

Quem precisa cumprir

• Instituições autorizadas pelo Banco Central — bancos, bancos digitais, financeiras, sociedades de crédito direto (SCD) e de empréstimo entre pessoas (SEP), entre outras: seguem a Resolução CMN 4.893.
• Instituições de pagamento, corretoras e distribuidoras de valores e corretoras de câmbio: seguem a Resolução BCB 85, que recebeu as mesmas regras de pentest pela Resolução BCB 538, também de 18/12/2025.
• Fintech sem autorização própria, que opera por meio de um banco parceiro ou de um provedor de BaaS: a norma não se aplica diretamente a ela. Mas a instituição autorizada precisa definir procedimentos e controles para os prestadores de serviço que tratam dados sensíveis ou relevantes para sua operação, em nível compatível com o que ela mesma usa (art. 3º, inciso V, alínea “b”, e § 5º). Na prática, essa exigência tende a chegar ao contrato com o parceiro.

O que a norma exige do pentest

O artigo 22-A, incluído em dezembro de 2025, é direto:

Art. 22-A. As instituições devem assegurar que os testes de intrusão mencionados no art. 3º, § 8º, inciso IV, devem: I - ter periodicidade mínima anual; II - ser realizados com independência e imparcialidade por pessoa natural ou empresa especializada contratada pela instituição para essa finalidade, sem prejuízo da realização de testes por equipes da própria instituição; e III - ter os resultados de sua execução documentados, especialmente as eventuais vulnerabilidades que forem identificadas e os planos de ação estabelecidos para suas correções.

Na prática, isso significa:

1. Pelo menos um pentest por ano. “No mínimo” — mudanças grandes no produto justificam testes adicionais.
2. Feito por quem é de fora. O time interno pode (e deve) testar, mas não substitui o teste independente contratado.
3. Com relatório e plano de correção. Não basta o PDF com as falhas: a norma pede os planos de ação para corrigir. E o § 8º ainda exige a “correção tempestiva das vulnerabilidades identificadas” — ou seja, corrigir e provar que corrigiu.

Os resultados também entram no relatório anual sobre o plano de ação e de resposta a incidentes, com data-base de 31 de dezembro, que vai ao comitê de risco (quando existir) e ao conselho ou à diretoria até 31 de março do ano seguinte (art. 8º). E a documentação fica 5 anos à disposição do Banco Central (art. 23).

O que um pentest em fintech precisa cobrir

A resolução não define o escopo do teste. A política de segurança — e, por extensão, os testes — precisa ser compatível com o porte, o perfil de risco e o modelo de negócio da instituição (art. 2º, § 1º), e os controles mínimos do art. 3º indicam onde olhar. Em uma fintech, um pentest sério cobre pelo menos:

• Autenticação e controle de acesso — login, recuperação de conta, sessão, MFA (inclusive no acesso remoto à rede corporativa, que agora é obrigatório) e permissões de usuários internos e terceirizados.
• Autorização entre contas — um cliente não pode ver nem mexer no saldo, no extrato ou nos dados de outro. É a falha de API mais comum em plataformas financeiras.
• Integrações por API — a norma passou a tratar especificamente dos requisitos de segurança para integração de sistemas por interfaces eletrônicas (art. 3º, § 2º, XIII): APIs de parceiros, webhooks, Open Finance, provedores de KYC e de pagamento.
• Lógica das transações — limites, estornos, devoluções, saques e transferências feitos em paralelo (race conditions), arredondamentos e valores negativos.
• Ambiente Pix, para participantes que se conectam à RSFN — acesso administrativo com MFA, isolamento do ambiente, guarda de certificados e chaves de assinatura (art. 3º-A).
• Rastreabilidade — se as transações e acessos geram trilhas de auditoria que permitem investigar um incidente (art. 3º, § 7º).

Para autorização entre contas, o modo de teste mais eficiente é o Grey Box (com contas de teste); para módulos críticos como carteira, Pix e motor de limites, vale a revisão de código do pentest White Box. Um exemplo real do tipo de falha que esse teste encontra está em BOLA em fintech: 1 endpoint, R$ 200k de exposição.

Como o relatório vira evidência para o Banco Central

Na hora da supervisão ou da auditoria interna, o que conta é a documentação. Um relatório de pentest que atende o art. 22-A deixa claro:

1. Quem fez e em que condição — empresa ou profissional contratado, sem conflito com o time que desenvolveu o sistema.
2. Escopo e período — quais sistemas, ambientes e APIs foram testados, e quando.
3. Metodologia — como o teste foi conduzido e com que nível de acesso.
4. Vulnerabilidades encontradas — com severidade, evidência e passo a passo para reproduzir.
5. Plano de ação — o que será corrigido, por quem e em que prazo.
6. Reteste — a comprovação de que as correções funcionaram.

Guarde tudo junto (relatório, plano de ação e reteste) com a data do teste: o prazo de 5 anos conta a partir da execução.

Um calendário que funciona

Como o relatório anual tem data-base em 31 de dezembro e vai ao conselho até 31 de março, o ideal é que o pentest do ano, as correções e o reteste estejam concluídos antes do fechamento. Na prática: planeje o pentest para o primeiro semestre ou o terceiro trimestre, reserve tempo para corrigir, faça o reteste e chegue a dezembro com o ciclo fechado. Mudanças grandes no meio do ano — um produto novo, uma integração de Open Finance, a entrada no Pix — justificam testes adicionais focados.

Quanto custa

Na No Vuln, o pentest é contratado por horas, com valor-hora de R$ 350 a R$ 500 por hora. Para uma fintech com produto em produção, o mais comum é o Deep Dive (50h), de R$ 17.500 a R$ 25.000; para bancos digitais e plataformas com vários produtos, APIs e Pix, o Full Scope (100h+), a partir de R$ 35.000. Quem prefere testes ao longo do ano, e não só o anual, pode usar o PTaaS (pentest contínuo, com banco de horas mensal ou trimestral). Veja também quanto custa um pentest no Brasil.

O que fazer agora

1. Confirme qual norma se aplica à sua instituição (CMN 4.893 ou BCB 85) — ou ao seu parceiro, se você opera via BaaS.
2. Verifique se o último pentest foi feito há menos de 12 meses, por empresa independente, e se está documentado.
3. Confira se há plano de ação e reteste para cada falha relevante encontrada.
4. Revise MFA no acesso remoto e, se você está no Pix, o isolamento do ambiente e a guarda de chaves.
5. Coloque o próximo pentest no calendário de forma que o ciclo feche antes de 31 de dezembro.

Para o escopo técnico, veja pentest para fintech, pentest para meios de pagamento e segurança Pix. Se quiser conversar sobre o seu caso: fale com um pesquisador — NDA bilateral antes da primeira call técnica.

Este artigo resume as normas para orientar o planejamento técnico e não substitui a leitura do texto oficial nem a orientação do seu jurídico e compliance. Fontes: Resolução CMN 4.893, Resolução CMN 5.274, Resolução BCB 85 e Resolução BCB 538.