Movimentando R$ 3,2 bilhões em pagamentos, Open Finance terá novas regras de segurança em novembro

A partir de 3 de novembro de 2026, instituições participantes do Open Finance brasileiro precisarão atender a novos requisitos de segurança relacionados à validação de certificados digitais, conforme a versão 5.0 do Manual de Segurança do ecossistema, divulgada pela Instrução Normativa BCB nº 720/2026. As exigências determinam que as organizações utilizem mecanismos para verificar a validade dos certificados empregados nas operações e garantam que essa verificação continue funcionando mesmo diante de indisponibilidades temporárias. Segundo a LC SEC, consultoria especializada em cibersegurança e compliance, a mudança reforça a importância de avaliar não apenas a existência dos controles exigidos pela regulamentação, mas também sua eficácia em condições reais de operação.

A atualização ocorre em um momento de expansão do Open Finance no país. Segundo estudo da Zetta, associação de instituições financeiras digitais, realizado com dados da AtlasIntel, o ecossistema brasileiro alcançou cerca de 240 milhões de consentimentos ativos em julho de 2026, ante 41,9 milhões em dezembro de 2023, e reúne aproximadamente 800 instituições participantes. Apesar do avanço em escala, a pesquisa mostra que 81,9% dos entrevistados já ouviram falar do Open Finance, mas apenas 21% se consideram informados sobre seu funcionamento, evidenciando uma lacuna de conhecimento sobre o sistema.

Entre os pontos que passam a ser obrigatórios em novembro estão os itens 3.28 a 3.30 do Manual de Segurança, que definem requisitos para validar certificados digitais conforme os parâmetros da Estrutura de Governança do Open Finance, inclusive quando os mecanismos de consulta estiverem indisponíveis. Já o item 6.18 estabelece critérios para a frequência de atualização, a tolerância a falhas e os meios alternativos de verificação. Essas medidas permitem identificar certificados revogados ou comprometidos e agir adequadamente, preservando a segurança das comunicações entre as instituições.

Para Luiz Claudio, CEO e fundador da LC SEC, a proximidade do prazo exige que as instituições avaliem a efetividade dos controles implementados, em vez de se limitarem à revisão de documentos e políticas internas. “Um controle de segurança só cumpre seu papel quando funciona nas condições reais de operação, inclusive diante de falhas e tentativas de exploração. No caso dos certificados digitais, não basta verificar se eles estão configurados: é necessário testar se a instituição consegue identificar alterações em sua validade e manter os mecanismos de verificação mesmo quando há indisponibilidade temporária. O mesmo raciocínio vale para autenticação, criptografia e proteção das APIs”, afirma.

Segundo o Relatório de Cidadania Financeira 2025 do Banco Central, as iniciações de pagamentos realizadas por meio do Open Finance movimentaram R$ 3,2 bilhões em 2024, mais de cinco vezes os R$ 624 milhões registrados no ano anterior. O Manual de Segurança também estabelece requisitos para controles como autenticação multifator (MFA) em acessos administrativos remotos, TLS 1.2 ou superior nas APIs, Perfect Forward Secrecy (PFS), hardening de sistemas, atualizações de segurança, gestão de vulnerabilidades e trilhas de auditoria. Além de implementar essas medidas, as instituições devem analisar vulnerabilidades durante o desenvolvimento e a operação das APIs, classificar e priorizar os problemas conforme o risco e revisar periodicamente as configurações para manter apenas portas e serviços autorizados habilitados.

Na avaliação da LC SEC, as instituições devem aproveitar o período anterior ao prazo regulatório para revisar a gestão de certificados, testar cenários de indisponibilidade dos mecanismos de validação, conferir regras de firewall e segmentação de redes, verificar configurações de TLS, validar os acessos administrativos e realizar testes de vulnerabilidade e de intrusão nas aplicações envolvidas. A regulamentação prevê o monitoramento dos acessos às APIs e a manutenção de registros de auditoria, com atenção a erros internos, requisições inválidas, volumes de tráfego e padrões de atividade que possam indicar problemas de segurança. Também estabelece procedimentos de resposta a situações como acessos não autorizados, vazamentos de dados, ataques de negação de serviço e falhas de integridade.

Para os consumidores, grande parte desses mecanismos permanece invisível, embora seja essencial para sustentar a confiança no compartilhamento de informações financeiras entre instituições. A entrada em vigor das novas exigências em 3 de novembro representa um marco regulatório, mas não encerra o trabalho de segurança, uma vez que certificados expiram ou são revogados, vulnerabilidades são descobertas e APIs passam por mudanças contínuas. “A conformidade precisa ser demonstrável. É importante que a instituição consiga apresentar evidências de que os controles estão ativos, foram testados e respondem adequadamente a falhas e ameaças. Os testes de intrusão e as avaliações de vulnerabilidade ajudam a identificar diferenças entre o que está previsto na documentação e o nível de proteção que realmente existe no ambiente”, explica Luiz Claudio.