Na recente FDX Global Summit Spring 2021, participei como painelista representando a F5, ao lado de outros painelistas da Cequence Security e da Mastercard-Nudata. Discutimos o trabalho do grupo de trabalho de segurança de APIs da FDX, que reúne instituições financeiras, agregadores e fornecedores de soluções de segurança para colaborar na definição de um padrão de open banking seguro e aberto para o compartilhamento de dados.
A Financial Data Exchange (FDX) é uma organização sem fins lucrativos dedicada ao desenvolvimento do padrão de API (Interface de Programação de Aplicações) da FDX para criar um padrão comum de dados interoperáveis. Isso permite que consumidores e empresas acessem seus dados financeiros de forma confiável e segura e estabelecerá o padrão de referência para o open banking nos Estados Unidos e no Canadá.
O open banking representa uma excelente oportunidade para ampliar a inovação e a colaboração no setor de serviços financeiros, permitindo que fintechs e outros terceiros autorizados inovem e ofereçam serviços de valor agregado com base nas informações financeiras dos consumidores. Os padrões de open banking permitem que os consumidores autorizem e concedam a terceiros acesso seguro e granular a dados financeiros específicos (por exemplo, saldos e transações) e a funcionalidades específicas (por exemplo, pagamentos). Há possibilidades promissoras para que terceiros e fintechs ofereçam serviços de valor agregado, incluindo:
- Agregação de contas/serviços de várias instituições em um só lugar
- Iniciação de pagamentos
- Comparação de produtos financeiros
- Oferecer serviços bancários ainda não disponibilizados pela instituição
- Fornecer suporte à tomada de decisões e insights com base em dados financeiros, como verificação de identidade, avaliação da capacidade de pagamento de crédito etc.
A F5 tem trabalhado em estreita colaboração com nossos clientes do setor de serviços financeiros em todo o mundo na implementação e proteção de APIs de open banking. A F5 e a Twimbit colaboraram para publicar uma pesquisa sobre as tendências mundiais de open banking.
Valor intrínseco das informações financeiras dos consumidores
As informações financeiras dos consumidores são uma mercadoria negociada em mercados da darknet por valores que variam entre US$ 35 (para contas com saldos baixos, que podem ser usadas como contas de laranja em outras fraudes) e US$ 150 ou mais (para contas com saldos maiores). Esse valor de negociação relativamente baixo das informações financeiras dos consumidores é resultado da enorme oferta de contas e credenciais comprometidas disponíveis. Por isso, os agentes mal-intencionados têm recorrido à automação — por meio de APIs — para ampliar suas operações, que envolvem milhares de contas roubadas. Consequentemente, as APIs financeiras se tornaram uma das principais superfícies de ataque a serem protegidas.
Atacantes têm como alvo as APIs no Open Banking
Recentemente, os cibercriminosos que têm como alvo o setor de serviços financeiros estão começando a concentrar mais ataques em interfaces de programação de aplicações (APIs). As aplicações estão migrando para um modelo cada vez mais distribuído e descentralizado, tendo as APIs como pontos de conexão. A pesquisa mais recente da F5 mostra que o número de incidentes de segurança de APIs cresce a cada ano e que a maioria dos incidentes envolvendo APIs nos últimos dois anos esteve relacionada a um baixo nível de maturidade em segurança, muitas vezes causado pela proliferação de ferramentas. Diferentes equipes de desenvolvimento que trabalham em várias aplicações costumam usar conjuntos distintos de ferramentas. Isso significa que as equipes de segurança tradicionais podem não dispor de um ponto de controle centralizado para aplicar as políticas de segurança. Por isso, é necessário um conjunto padronizado de ferramentas para incorporar os controles adequados aos processos de desenvolvimento e gerenciamento de APIs.
Uma evolução — OFX e captura de tela
As APIs não são a única superfície de ataque que exige atenção. Tradicionalmente, terceiros e agregadores financeiros que precisam acessar dados de consumidores utilizam dois mecanismos:
- OFX (Open Financial eXchange) — que foi inicialmente desenvolvido para conectar aplicativos financeiros voltados ao consumidor (por exemplo, MS Money e Intuit QuickBooks) às instituições financeiras do usuário.
- Raspagem de tela — em que os consumidores fornecem suas credenciais bancárias a terceiros, que acessam o canal web de serviços financeiros e extraem essas informações.
O OFX pode ser utilizado como um canal para que agentes mal-intencionados realizem, em larga escala, ataques de preenchimento de credenciais, validação e invasão de contas — tanto diretamente quanto por meio de agregadores financeiros:
- A F5 observa regularmente o uso do OFX como um canal para que agentes mal-intencionados realizem, em larga escala, ataques de preenchimento de credenciais, validação e invasão de contas — tanto diretamente quanto por meio de agregadores financeiros.
- Fornecer credenciais a terceiros para a captura de dados de tela expõe essas credenciais à postura de segurança desses terceiros.
- Esses mecanismos não oferecem ao consumidor consentimento e controle granulares sobre quais informações o terceiro pode acessar, resultando em violações de privacidade.
A OFX aderiu à FDX e, no futuro, ambas convergirão para um padrão unificado, o que representa uma oportunidade de modernizar os controles de segurança e enfrentar os desafios de segurança do passado. As abordagens baseadas em captura de tela continuam sendo um desafio para as instituições financeiras.
Recomendações para melhorar a segurança
A FDX publicou orientações abrangentes sobre os controles que devem ser implementados para proteger as informações das contas dos consumidores e a integridade dos serviços contra ameaças e riscos. Esses controles incluem:
- Segurança de software — controle das 10 principais vulnerabilidades da OWASP e de outras vulnerabilidades de software — incluindo a implantação de um firewall de aplicações web (WAF)
- Segurança de redes e sistemas
- Segurança operacional
- Segurança física
- Continuidade dos negócios e recuperação de desastres
- Segurança de fornecedores
- Padrões de projeto para autenticação/autorização, incluindo controles contra preenchimento de credenciais
- Padrões para uma arquitetura de gateway seguro (SGA), incluindo controles de segurança de APIs integrados ao gateway de API
Por fim, Soluções da F5 para open banking apresenta uma abordagem abrangente das soluções da F5 para open banking.
Agradecimentos especiais aos membros da nossa equipe de Serviços Financeiros que contribuíram para este artigo: Benn Alp, Chad Davis e Andy Franklin.
Sobre o autor
Publicações relacionadas no blog
O estado da maturidade digital empresarial: a transformação digital ainda não terminou
Explore como a IA impacta as empresas, as aplicações da IA generativa, as estratégias para modernizar as operações de TI e os benefícios da maturidade digital com a F5.
Como a IA generativa acelera a transformação digital
Veja como a IA generativa impulsiona a transformação digital nas empresas, acelerando tendências como a integração de APIs, os desafios dos modelos operacionais de TI híbrida e a adoção de AIOps.
Seis capacidades técnicas para acelerar a transformação digital
As arquiteturas empresariais atuais carecem dos fatores necessários de agilidade, escalabilidade, segurança e observabilidade, essenciais para impulsionar a mudança tecnológica. No entanto, estas seis capacidades fundamentais ajudarão as empresas a gerenciar riscos e desafios ao longo de sua transformação digital.
Inverter a API é a transformação digital de que as empresas precisam para participar e competir em uma economia de APIs
As organizações detêm um valor latente — na forma de APIs internas — que precisam explorar para competir em uma economia de APIs. Embora os desafios técnicos e de segurança possam desestimular algumas delas, as empresas precisam reconhecer que inverter suas APIs permitirá liberar o valor da organização como plataforma.
A modernização da TI começa pela infraestrutura
O hardware e o software evoluíram rapidamente desde os primórdios da internet, mas, para aproveitar ao máximo os benefícios resultantes dessa evolução, as organizações precisam avaliar e modernizar sua infraestrutura e a entrega de aplicativos. Acelere os esforços de modernização com a nova F5 rSeries.