Em apenas alguns anos, o open banking — o uso de APIs abertas para permitir que terceiros desenvolvam produtos e serviços com base nas ofertas de bancos, seguradoras e outras instituições financeiras — transformou o cenário dos serviços financeiros.
A capacidade de aproveitar produtos de serviços financeiros existentes para criar novas ofertas em áreas como crédito, pagamentos e seguros tornou muito mais simples para os consumidores realizar transações, gerenciar sua vida financeira e controlar seus dados pessoais. Ao mesmo tempo, os protocolos de APIs abertas estão impulsionando a inovação em todo o setor de serviços financeiros e gerando fluxos de receita significativos para as instituições financeiras. E, com o novo lançamento da FDX API 5.0, que estabelece padrões de segurança, interoperabilidade e desempenho de APIs, bem como com a proximidade do prazo da PSD2 para a Autenticação Forte do Cliente (SCA) na União Europeia, certamente haverá ainda mais inovação e novas oportunidades de receita.
Mas onde há recompensa, invariavelmente há risco. Por sua própria natureza, as APIs abertas expõem dados internos e de clientes a terceiros, tornando-os mais vulneráveis ao acesso por agentes mal-intencionados. Isso é particularmente preocupante no caso dos agregadores de contas, que, como Mint e Plaid, viabilizam serviços financeiros modernos para os consumidores. Continue lendo para saber como agentes mal-intencionados usam agregadores para atacar e fraudar bancos, seguradoras e outras instituições financeiras.
Acelerando o risco: como agregadores e provedores de pagamento terceirizados viabilizam o preenchimento de credenciais e a tomada de contas
Os agregadores de contas financeiras podem oferecer um valor real aos consumidores, proporcionando uma visão consolidada de sua vida financeira em uma única tela. Eles também beneficiam as instituições financeiras ao reduzir os atritos nas transações e criar novas fontes de receita. É por isso que muitas instituições financeiras flexibilizam seus procedimentos de segurança ao se conectarem a agregadores. No entanto, como podem armazenar dados de centenas de milhões de contas, os agregadores são alvos atraentes para agentes mal-intencionados — especialmente os de menor porte, que podem não dispor dos recursos financeiros e da sofisticação em segurança de concorrentes mais consolidados.
O aumento dos dados de contas roubados disponíveis para agentes mal-intencionados, por sua vez, está impulsionando ataques automatizados de preenchimento de credenciais, nos quais agentes mal-intencionados tentam acessar contas usando botnets e credenciais roubadas. Esses ataques se tornaram um problema significativo para as instituições financeiras, causando grandes violações de dados e perdas financeiras consideráveis — a tal ponto que o FBI emitiu recentemente um alerta formal ao setor financeiro dos EUA sobre a ameaça representada pelo preenchimento de credenciais.
O resultado mais alarmante do aumento dos ataques de preenchimento de credenciais é o crescimento das invasões de contas (ATOs), nas quais os invasores assumem o controle das contas às quais obtiveram acesso para retirar fraudulentamente os fundos dessas contas. Segundo a Javelin Strategy and Research, em seu Estudo sobre Fraude de Identidade de 2021, as fraudes de ATO resultaram em perdas totais superiores a US$ 6 bilhões em 2020.
A pesquisa também calculou o custo médio dos ataques de preenchimento de credenciais e constatou, surpreendentemente, que ele pode chegar a mais de seis vezes a receita gerada pelos usuários ativos mensais.
Os riscos não param por aí e, infelizmente, são mais graves do que alguns podem imaginar. Agentes mal-intencionados sabem que o tráfego de agregadores tem menos probabilidade de ser bloqueado e, por isso, gostam de usá-los como portas dos fundos para acessar instituições financeiras. Em 2019, por exemplo, a gigante de serviços financeiros NCR Corp. considerou necessário impedir temporariamente que determinados agregadores acessassem sua plataforma de serviços bancários digitais ao detectar uma onda de invasões automatizadas de contas provenientes deles.
Ao disponibilizar APIs para agregadores, as instituições financeiras também aumentam o risco para o desempenho dos sistemas, causando ou contribuindo para picos de tráfego. Isso ocorre, em parte, porque os agregadores estão entre os maiores usuários de APIs de open banking, gerando 20% do tráfego de um banco típico. Outro fator, segundo o FBI, é que os ataques de preenchimento de credenciais podem sobrecarregar tanto os sistemas de autenticação das instituições financeiras que essas instituições acabam acreditando que estão enfrentando um ataque de negação de serviço.
Em resumo, o open banking expõe as instituições financeiras a riscos significativos e generalizados. É por isso que, na F5, adotamos uma abordagem estratégica para ajudar as instituições financeiras a gerenciar e proteger as APIs de open banking.
Ajudando instituições financeiras a adotar o open banking com segurança
A F5 já é líder no fornecimento de gerenciamento de APIs, gateways de API de alto desempenho e controles avançados de segurança em uma solução completa, reduzindo a proliferação de ferramentas e limitando a complexidade da arquitetura.
A F5 monitora, em tempo real, as tentativas de login em contas de instituições financeiras, permitindo que elas diferenciem usuários reais, bots e automações de tentativas manuais de fraude (realizadas por pessoas). Gostamos de pensar que esse é um dos motivos pelos quais os 15 maiores bancos comerciais dos EUA usam as soluções da F5. Agora, estamos inovando para ampliar nosso conjunto de soluções e oferecer um suporte ainda mais abrangente ao open banking.
Nos próximos meses, você verá mais novidades da F5 sobre open banking, com foco em temas como o aprimoramento do gerenciamento do tráfego proveniente de agregadores e a proteção contra ataques a APIs.
Um exemplo é o nosso produto Aggregator Management, que oferece aos clientes da F5 na comunidade de open banking maior visibilidade do tráfego de APIs, detecção automática de preenchimento de credenciais, detecção de tráfego anômalo e a capacidade de limitar os privilégios de acesso a conteúdo dos agregadores. Para as instituições financeiras, isso significa um controle mais granular sobre os agregadores, maior proteção das contas dos consumidores contra fraudes, maior disponibilidade dos aplicativos — e menos riscos.
Fique de olho! Enquanto isso, saiba mais sobre os riscos do open banking e como se proteger deles:
- Assista ao nosso webinar, Tendências, desafios e oportunidades do Open Banking, para saber mais sobre Open Banking.
- Conheça nossa solução de Gestão de Agregadores.
- Confira um guia para se proteger contra ataques de bots no open banking.
- Faça nossa avaliação de ameaças para verificar a eficácia da segurança atual da sua API.
- Saiba como a F5 pode ajudar as organizações a prevenir ataques de tomada de conta (ATO) sem criar obstáculos para os usuários.
- Saiba como a tecnologia Shape ajudou um dos 10 maiores bancos da América do Norte a eliminar o credential stuffing.
Sobre o autor
Publicações relacionadas no blog
Entrega e proteção de agentes de IA em fábricas de IA: F5 para a arquitetura de referência NVIDIA OpenShell para agentes de IA seguros
As soluções da F5 ampliam a Arquitetura de Referência NVIDIA OpenShell para agentes de IA seguros.
Como medir – e minimizar – o custo total de propriedade do seu Kubernetes
O Kubernetes pode ser baixado e executado gratuitamente, mas sua manutenção está longe de não ter custos. Assim como outras grandes plataformas de código aberto que são “gratuitas” apenas em um sentido simplista, o Kubernetes quase certamente exigirá investimentos para ser implantado e operado.
As-Code: a pilha de TI contínua
Infraestrutura, configuração, pipeline, operações. De repente, tudo é “como código”. Lori MacVittie busca esclarecer a terminologia e identificar os diferentes componentes de uma stack contínua de TI.
O estado da entrega de aplicações em 2017: automação, APIs e DevOps
Explore o relatório State of Application Delivery de 2017. Leia o blog retrospectivo da F5 sobre o início da ascensão das redes declarativas e dos pipelines de DevOps.
DevOps Summit: onde a rede foi convidada para a festa
No DevOps Summit NY, falou-se muito não apenas sobre DevOps, mas também sobre contêineres, IoT e microsserviços. As sessões se concentraram não só na mudança cultural necessária para crescer em escala com uma abordagem DevOps, mas também fizeram questão de incluir...
F5 e Nutanix convergem em infraestrutura no .NEXT
Aplicações empresariais como Microsoft SharePoint e Exchange, juntamente com a VDI, continuam sendo a espinha dorsal da sua empresa. A produtividade, embora não seja tão atraente quanto o lucro, é um fator essencial para o sucesso das operações empresariais atuais. Deixar de...