Pentest profundo para flujos Pix: QR dinámico, devoluciones, DICT, MED e iniciación de pagos.

Pix no funciona como una tarjeta. La tarjeta tiene contracargo (chargeback), 3DS y la mediación de la marca. Pix es instantáneo e irreversible por defecto. Cuando el dinero sale, ya salió. La devolución depende de la buena fe de quien lo recibió (o del MED en caso de fraude comprobado).

Eso cambia el cálculo del riesgo. En Pix, cualquier bug que permita:

• Manipular el monto entre el QR y el procesamiento
• Provocar una race condition en la devolución que genere un doble reembolso
• Disparar un pago sin el consentimiento explícito del pagador
• Evadir el antifraude modificando el payload
• Filtrar datos de claves DICT de forma masiva

...se convierte en pérdida financiera o daño regulatorio directo. No hay red de seguridad downstream. Por eso el pentest de Pix es específico: exige una metodología que un escáner genérico no tiene.

Los mismos patrones técnicos (race conditions, idempotencia, replay) pueden aparecer en cualquier sistema de pagos instantáneos, como SPEI en México o Bre-B en Colombia. Esta página se enfoca en Pix y en la regulación brasileña.

Cobertura regulatoria (Brasil)

• Manual de Seguridad de Pix (BACEN) — todos los requisitos técnicos
• Resolución BCB 1 — gestión del riesgo operacional de Pix
• Resolución BACEN 4.893 (CMN 4.893) — ciberseguridad para instituciones financieras y de pago
• Manual Operativo del MED — Mecanismo Especial de Devolución
• Art. 46 de la LGPD (ley brasileña de protección de datos) — protección de los datos de claves Pix y de sus titulares

QR estático

• Manipulación del payload del BR Code (el estándar de QR de Pix): alterar el receptor o el monto
• Multiple payment abuse — varios pagadores con el mismo QR
• Reutilización del QR después del pago
• Phishing con QR falsificados en deep links
• Validación de la información adicional (description tampering)

QR dinámico (BR Code con URL)

• Manipulación del payload de la URL de cobro
• SSRF a través del parser de URL en el cliente
• Race conditions en la generación y la expiración
• Replay después de la expiración
• BOLA en el endpoint de cobro (acceso al QR de otro receptor)
• Filtración de la clave del receptor en una URL pública

Envío (consulta al DICT + transacción)

• BOLA en la consulta al DICT — filtración de datos de titulares
• Rate limit en el DICT (el BACEN exige un límite estricto)
• Race entre el débito y la reserva de saldo
• Inconsistencia entre el saldo en caché (Redis) y la fuente de verdad
• Manipulación del monto entre la confirmación en la UX y el envío efectivo
• Replay de JWT/tokens en el flujo entre frontend, backend y BACEN

Devolución Pix y MED

• Race condition — doble reembolso por petición duplicada
• Manipulación del monto de la devolución (devolución parcial fraudulenta)
• Manipulación del receptor (devolver a otra cuenta)
• MED — abuso del flujo de devolución por fraude
• Replay del comprobante de devolución
• Bypass de la validación temporal (90 días para el MED)

Pix Cobrança y Pix Saque

• BR Code de Cobrança (cobro con vencimiento) — manipulación del vencimiento, los intereses y la multa
• Pix Saque (retiro de efectivo) — bypass del límite modificando el payload
• Pix Troco (retiro de efectivo al pagar una compra) — race entre el monto retirado y el monto de la compra
• Validación de location (PSS —proveedor del servicio de Saque/Troco— en comercios)

Iniciación de pagos (PISP vía Open Finance)

• FAPI 1.0 Advanced — firma JWS detached, mTLS cert binding
• Confused deputy entre el PISP y la institución que mantiene la cuenta
• Scope escalation en el consentimiento
• Replay del consent ID
• Manipulación del pago a través de la respuesta JWE
• Validación del scope payments × estado de initiated_payment

DICT (Directorio de Identificadores de Cuentas Transaccionales)

• BOLA — filtración de claves de otros titulares
• Rate limit en la consulta — abuso para armar una base de datos
• Manipulación del claim de portabilidad
• Bypass de la validación de propiedad (quedarse con la clave de otro)
• Replay de operaciones autenticadas en el DICT

El pentest de Pix se puede contratar de forma independiente o como módulo del pentest de fintech. La tarifa por hora va de US$ 150 a US$ 250 según el stack, la modalidad y el plazo; los paquetes más grandes tienen una tarifa menor. Facturación en USD por Wise o transferencia internacional: 50% al inicio y 50% en la entrega.