Auditoría de seguridad para fintechs que necesitan pasar la revisión del BACEN y el due diligence.

La mayoría de los pentests de fintech en Brasil se hace con Nessus, Acunetix o Burp Pro en “modo automático”. Esos escáneres encuentran fallas obvias — versiones desactualizadas, headers ausentes, XSS triviales. No encuentran nada de lo que de verdad tumba a una fintech: BOLA en un endpoint de transacciones, race condition en retiros, inconsistencia entre el saldo en caché y la fuente primaria, JWT mal validado en el flujo de cobro, OAuth state confusion entre la app y un socio de Open Finance.

Nuestro pentest empieza donde termina el escáner. Atacamos la lógica de negocio, las cadenas entre componentes y los supuestos equivocados de los desarrolladores — porque así ataca un investigador de bug bounty real, y así ataca un adversario real.

Cobertura regulatoria (Brasil)

• Resolución BACEN 4.893 — pruebas de ciberseguridad obligatorias para instituciones financieras e instituciones de pago autorizadas por el Banco Central de Brasil. Informe con formato de evidencia regulatoria.
• Resolución BCB 85 — política de ciberseguridad y requisitos para la contratación de servicios de procesamiento y almacenamiento de datos.
• LGPD Art. 46 (ley brasileña de protección de datos) — medidas técnicas para proteger los datos de los clientes.
• PCI DSS 4.0 — para fintechs que procesan tarjetas directamente (requisitos 11.4.x).

Flujos de Pix

• QR dinámico — manipulación de payload, bypass de la validación del monto
• QR estático — deep links, abuso de múltiples pagadores
• Cobro por clave Pix — pruebas de phishing con claves falsificadas
• Devolución de Pix — race conditions, double spending
• Iniciación de pagos — autenticación del iniciador, validación de payload

Open Finance

• Flujo de consentimiento — pruebas de confused deputy, scope escalation
• Autenticación FAPI — validación de JWT, JWS detached signature, JWE
• Endpoints de datos — BOLA entre clientes, filtración entre instituciones
• Webhooks de eventos — replay, bypass de firma, SSRF vía callback

Fraude transaccional

• Race conditions en retiros, transferencias y Pix
• Inconsistencia entre el saldo en caché y la fuente de verdad (Redis vs. Postgres)
• Bypass de límites por modificación del payload
• Replay de transacciones firmadas
• Manipulación de moneda en cuentas multimoneda

KYC y onboarding

• Bypass de la validación de documentos (deepfake, OCR injection)
• Reutilización de selfie / bypass de liveness
• SSRF vía webhook del proveedor de KYC
• BOLA en endpoints de carga de documentos
• Race condition al completar el onboarding

Autenticación y sesión

• OAuth 2.0 / OIDC — state fuzzing, redirect URI fuzzing, robo de tokens
• JWT — algorithm confusion, path traversal en kid, JKU SSRF
• Bypass de MFA — race conditions en códigos OTP, flujos de recuperación rotos
• SAML XSW — para integraciones enterprise
• Session fixation, session puzzling

Los investigadores de No Vuln tienen hallazgos publicados o validados en programas de bug bounty de fintechs e instituciones financieras internacionales, entre ellos:

• eToro — plataforma de trading social con más de 30 millones de usuarios
• Bitso — el mayor exchange de cripto de América Latina
• Hostinger — proveedor global de hosting con millones de clientes
• U.S. Department of Defense — programa oficial de bug bounty

No vendemos “hackers éticos”. Vendemos investigadores que compiten con adversarios reales en programas donde solo se paga el hallazgo nuevo.

Cada caso recibe una propuesta a medida una vez definido el alcance. La tarifa por hora va de US$ 150 a US$ 250 según el stack, la modalidad y el plazo; los paquetes más grandes tienen una tarifa menor. Facturación en USD por Wise o transferencia internacional: 50% al inicio y 50% en la entrega.