Em 2025, ecossistemas interconectados de bancos, fintechs, provedores de pagamento e prestadores de serviços terceirizados tornaram-se padrão no setor, remodelando profundamente o cenário global de serviços financeiros. Impulsionado por APIs, pela demanda dos titulares de contas por experiências financeiras integradas e personalizadas e pela crescente adoção de casos de uso de IA — como os relacionados ao compartilhamento de dados —, o movimento de open finance continua crescendo.
Infelizmente, à medida que os sistemas financeiros se tornam mais interconectados, os riscos de segurança aumentam exponencialmente. Os próprios recursos que tornam os ecossistemas de finanças abertas atraentes — compartilhamento de dados, colaboração com terceiros e maior acessibilidade — também são o que os torna vulneráveis.
“As próprias características que tornam os ecossistemas de finanças abertas atraentes — compartilhamento de dados, colaborações com terceiros e maior acessibilidade — também são o que os torna vulneráveis.”
Para se destacar em 2025, as instituições financeiras devem adotar estratégias de segurança proativas e robustas que enfrentem os desafios específicos das finanças abertas. Vamos explorar os principais riscos e as medidas práticas necessárias para fortalecer o futuro dos ecossistemas financeiros abertos.
Riscos críticos de segurança em finanças abertas em 2025
Com o amadurecimento dos ecossistemas de serviços financeiros, alguns desafios de segurança tendem a se destacar entre as possíveis vulnerabilidades. Confira três dos riscos mais urgentes das finanças abertas que as instituições precisam enfrentar em 2025.
1. Vulnerabilidades de APIs
As APIs estão no centro das finanças abertas. Elas facilitam o compartilhamento de dados financeiros entre bancos, fintechs e aplicativos de terceiros, permitindo que os consumidores acessem serviços inovadores com facilidade. No entanto, por servirem como a "porta de entrada" para sistemas sensíveis, as APIs também são alvos prioritários para invasores.
Principais ameaças:
- APIs com proteção insuficiente podem permitir que invasores interceptem ou roubem dados confidenciais.
- Explorações como ataques de injeção, falhas de autorização em nível de objeto (BOLA) ou autenticação inadequada podem permitir que partes não autorizadas acessem contas de clientes ou sistemas financeiros.
2. Riscos de terceiros
Em um artigo recente publicado no blog de tecnologia do site do JPMorganChase, intitulado Uma carta aberta aos fornecedores terceirizados, o CISO da empresa declarou: “Estamos em um momento crítico. Os fornecedores precisam urgentemente redefinir suas prioridades, colocando a segurança no mesmo nível ou acima do lançamento de novos produtos.” Essas redes de provedores terceirizados (TPPs) às quais o CISO se refere são a base das finanças abertas. Embora essas colaborações e parcerias entre TPPs e instituições financeiras impulsionem a inovação, elas também criam pontos de entrada adicionais para invasores. Uma vulnerabilidade de segurança no sistema de um único parceiro — por menor que seja — pode comprometer todo o ecossistema.
Muitas instituições financeiras agora incluem avisos em seus sites, orientando os consumidores a terem cautela ao lidar com terceiros prestadores de serviços (TPPs), como agregadores, devido aos possíveis riscos associados. Esses avisos lembram aos consumidores que o compartilhamento de suas credenciais viola os termos de seus contratos e que as instituições financeiras não serão responsáveis por quaisquer danos decorrentes desse compartilhamento.
Principais ameaças:
- Fornecedores que não sejam devidamente avaliados ou que não atendam aos padrões de conformidade podem introduzir vulnerabilidades que deixem os usuários suscetíveis à exploração dentro do sistema.
- O acesso com permissões excessivas concedido a desenvolvedores terceirizados pode expor dados financeiros confidenciais ou funcionalidades sensíveis.
3. Questões relacionadas à proteção de informações pessoais
O compartilhamento de informações confidenciais dos consumidores — como históricos de transações financeiras e saldos de contas — entre diversas plataformas é um requisito fundamental do open finance. Embora esse compartilhamento de dados viabilize novos serviços, ele também aumenta a exposição a ameaças como violações e uso indevido. Além disso, os consumidores esperam maior privacidade dos dados e conformidade com regulamentações como o Regulamento Geral sobre a Proteção de Dados (GDPR) da União Europeia, a Diretiva de Serviços de Pagamento 2 (PSD2) e padrões robustos de API relacionados ao open finance, como o Financial Data Exchange (FDX).
Principais ameaças:
- Violações de dados resultantes de criptografia insuficiente ou de práticas inadequadas de compartilhamento.
- Danos jurídicos e à reputação decorrentes da falha em proteger a privacidade dos consumidores.
Principais diretrizes para proteger o open finance em 2025
As instituições financeiras precisam priorizar a segurança para gerenciar esses riscos de forma eficaz e estabelecer uma base sólida para o open finance. A seguir, apresentamos duas recomendações essenciais que, quando implementadas, também ajudarão as empresas financeiras a proteger informações pessoais por meio de criptografia mais robusta, autenticação mais rigorosa e controle de acesso mais granular.
1. Reforce a segurança das APIs para combater ameaças em constante evolução
Como as APIs são fundamentais para o sistema financeiro aberto, protegê-las deve ser uma prioridade. A segurança das APIs garante a integridade das conexões entre instituições de serviços financeiros, terceiros e usuários finais.
Algumas medidas práticas para reforçar a segurança das APIs incluem:
- Políticas rigorosas de autenticação: use padrões do setor para autenticação aberta, como OAuth2.0, TLS mútuo ou outros protocolos robustos, a fim de autenticar usuários da API e impedir acessos não autorizados.
- Monitoramento em tempo real: use soluções para identificar atividades irregulares de API ou possíveis abusos antes que se agravem. Considere soluções que ofereçam descoberta e inspeção baseadas em código e tráfego, além de avaliação da superfície de ataque externa (varredura de domínios).
- Simplifique a governança: use soluções que possam ajudar no gerenciamento do inventário de APIs, como adicionar facilmente ao inventário APIs recém-descobertas. Além disso, incorpore a análise de conformidade de APIs e acompanhe melhor as mudanças na postura de conformidade por meio de alertas automáticos.
- Padrões de criptografia: todo o tráfego de APIs deve ser criptografado usando protocolos como o TLS 1.3 para garantir a segurança dos dados em trânsito.
- Testes regulares: realize testes de penetração periódicos para identificar e corrigir vulnerabilidades na arquitetura da sua API. Considere soluções que ofereçam testes de API antes da execução.
Insight: As APIs podem viabilizar a inovação por trás das finanças abertas, mas também representam a maior oportunidade de exploração. Trate as APIs como qualquer produto digital crítico: monitore-as, proteja-as e otimize-as continuamente. Considere soluções que incorporem proteção abrangente em tempo de execução, como WAF, regras de proteção de APIs, limitação de taxa e proteções de dados.
2. Avalie e mantenha a supervisão contínua dos relacionamentos com terceiros
A natureza terceirizada das finanças abertas exige que as instituições financeiras colaborem com os fornecedores e desenvolvedores que interagem com seus sistemas e dados. Garantir a segurança dessas parcerias é essencial para reduzir o risco geral.
As medidas práticas para proteger os relacionamentos com terceiros incluem:
- Avaliação rigorosa: realize uma due diligence abrangente antes de integrar parceiros de FinTech ou fornecedores terceirizados. Avalie os protocolos de segurança, o histórico de conformidade e as certificações técnicas dessas empresas.
- Monitoramento em tempo real: adote ferramentas que monitorem a atividade de terceiros em seu ecossistema de APIs, sinalizando ações não autorizadas ou comportamentos incomuns.
- Controles de acesso granulares: limite os dados e os níveis de acesso de terceiros ao "mínimo necessário" para o desempenho de suas funções, reduzindo o risco decorrente da concessão excessiva de permissões.
- Cláusulas contratuais de segurança: fortaleça as parcerias com acordos contratuais claros que exijam auditorias regulares, responsabilização por violações e conformidade com seus padrões de segurança.
Insight: Seu ecossistema de finanças abertas é tão seguro quanto seu elo mais fraco — que, em muitos casos, será um parceiro terceirizado. Adote uma abordagem de "confiar, mas verificar" em todas as relações com fornecedores.
Construindo ecossistemas de finanças abertas para resiliência de longo prazo
Como o open finance se tornou um pilar central dos serviços financeiros em 2025, investir em soluções mais robustas de segurança de APIs passou a ser essencial. As instituições financeiras que hoje priorizam a proteção abrangente de APIs e a gestão rigorosa dos riscos de terceiros estarão bem posicionadas para prosperar em um ecossistema cada vez mais conectado e inovador, mas também mais suscetível a riscos. Ao estabelecer uma base de confiança, conformidade e segurança, bancos e instituições financeiras podem explorar com confiança todo o potencial do open finance e oferecer experiências mais integradas e seguras aos clientes.
Saiba mais sobre como proteger melhor seu ecossistema de finanças abertas e veja como os produtos da F5 ajudam sua organização a implementar uma estratégia de segurança de aplicações com proteção completa, que vai além de apenas testar vulnerabilidades de software.
Sobre o autor
Publicações relacionadas no blog
Entrega e proteção de agentes de IA em fábricas de IA: F5 para a arquitetura de referência NVIDIA OpenShell para agentes de IA seguros
As soluções da F5 ampliam a Arquitetura de Referência NVIDIA OpenShell para agentes de IA seguros.
Como medir – e minimizar – o custo total de propriedade do seu Kubernetes
O Kubernetes pode ser baixado e executado gratuitamente, mas sua manutenção está longe de não ter custos. Assim como outras grandes plataformas de código aberto que são “gratuitas” apenas em um sentido simplista, o Kubernetes quase certamente exigirá investimentos para ser implantado e operado.
As-Code: a pilha de TI contínua
Infraestrutura, configuração, pipeline, operações. De repente, tudo é “como código”. Lori MacVittie busca esclarecer a terminologia e identificar os diferentes componentes de uma stack contínua de TI.
O estado da entrega de aplicações em 2017: automação, APIs e DevOps
Explore o relatório State of Application Delivery de 2017. Leia o blog retrospectivo da F5 sobre o início da ascensão das redes declarativas e dos pipelines de DevOps.
DevOps Summit: onde a rede foi convidada para a festa
No DevOps Summit NY, falou-se muito não apenas sobre DevOps, mas também sobre contêineres, IoT e microsserviços. As sessões se concentraram não só na mudança cultural necessária para crescer em escala com uma abordagem DevOps, mas também fizeram questão de incluir...
F5 e Nutanix convergem em infraestrutura no .NEXT
Aplicações empresariais como Microsoft SharePoint e Exchange, juntamente com a VDI, continuam sendo a espinha dorsal da sua empresa. A produtividade, embora não seja tão atraente quanto o lucro, é um fator essencial para o sucesso das operações empresariais atuais. Deixar de...