Artigo: Os 'quês, porquês e comos' da segurança cibernética em BaaS

[et_pb_section fb_built=”1″ admin_label=”Título do Artigo – NÃO MEXER!” _builder_version=”4.16″ _module_preset=”default” background_image=”https://finsidersbrasil.com.br/wp-content/uploads/2021/05/BG-Live.png” global_colors_info=”{}”][et_pb_row admin_label=”Linha” _builder_version=”4.16″ _module_preset=”default” global_colors_info=”{}”][et_pb_column type=”4_4″ _builder_version=”4.16″ _module_preset=”default” global_colors_info=”{}”][et_pb_post_title date_format=”d/m/Y” comments=”off” featured_image=”off” _builder_version=”4.16″ _module_preset=”default” title_font=”Montserrat||||||||” title_text_color=”#023146″ title_font_size=”40px” meta_font=”Montserrat||||||||” meta_font_size=”18px” text_orientation=”center” global_colors_info=”{}” author__hover_enabled=”on|desktop”][/et_pb_post_title][/et_pb_column][/et_pb_row][/et_pb_section][et_pb_section fb_built=”1″ specialty=”on” _builder_version=”4.16″ _module_preset=”default” global_colors_info=”{}”][et_pb_column type=”2_3″ specialty_columns=”2″ _builder_version=”4.16″ custom_padding=”|||” global_colors_info=”{}” custom_padding__hover=”|||”][et_pb_row_inner _builder_version=”4.16″ background_size=”initial” background_position=”top_left” background_repeat=”repeat” global_colors_info=”{}”][et_pb_column_inner saved_specialty_column_type=”2_3″ _builder_version=”4.16″ custom_padding=”|||” global_colors_info=”{}” custom_padding__hover=”|||”][et_pb_post_title title=”off” meta=”off” force_fullwidth=”off” admin_label=”Imagem do artigo – NÃO MEXER!” _builder_version=”4.16″ _module_preset=”default” global_colors_info=”{}”][/et_pb_post_title][et_pb_text admin_label=”Texto do Artigo” _builder_version=”4.17.4″ text_font=”Montserrat||||||||” background_size=”initial” background_position=”top_left” background_repeat=”repeat” text_orientation=”justified” hover_enabled=”0″ global_colors_info=”{}” sticky_enabled=”0″]

Por Raghav Iyer*, exclusivo para o Finsiders
Imagine que você tem uma loja de moda online. O negócio prospera e você vê a tendência de aumento do número de consumidores fiéis. Para promover a retenção de clientes, você decide emitir cartões de crédito personalizados, que oferecerão benefícios financeiros como incentivos para gastar mais no seu negócio. Entretanto, ao fazer uma pesquisa, você descobre que para emitir tal dispositivo, precisará de uma licença bancária válida. A aprovação de uma licença bancária não é um processo fácil. Então, como as outras marcas o fazem? É aqui que entra o banking as a service (BaaS).

O BaaS permite que organizações não bancárias forneçam serviços financeiros para clientes integrando-se com os bancos usando APIs ou na nuvem. A integração deve ser feita para realizar transações financeiras legais, desde que uma das partes possua licença bancária válida.

Essa abordagem “plug and play” para o setor bancário tornou mais fácil para as empresas não financeiras obterem uma vantagem competitiva ao proporcionar benefícios financeiros aos consumidores.

Tanto para bancos como para empresas não bancárias, adotar uma abordagem BaaS é uma forma de aumentar o reconhecimento e melhorar a percepção de valor da marca. Da perspectiva de um banco, isso também os ajudará no aumento da receita, enquanto as empresas não bancárias podem acelerar o crescimento, atraindo mais clientes.

Entretanto, do ponto de vista da segurança, o uso do BaaS pode levar a sérias perdas financeiras se não for implementado adequadamente. Os atacantes podem capitalizar as vulnerabilidades de APIs ou da nuvem, aproveitando qualquer falha que encontrarem para obter ganhos financeiros.

Segundo dados divulgados recentemente pelo Banco Central (BC), um único incidente de segurança com vazamento de dados pessoais de 160.147 chaves Pix, que estavam sob a guarda e responsabilidade de uma empresa de pagamentos, foram expostos em apenas dois dias, entre 3 e 5 de dezembro de 2021. Foram vazadas informações como nome completo, CPF, instituição, número da agência e conta.

Políticas de segurança sob medida

O panorama cibernético está evoluindo e os cibercriminosos estão tirando o máximo proveito disso. Ao longo dos anos, houve um aumento consistente do número de crimes cibernéticos no setor financeiro. Os bancos são um alvo perfeito para os atacantes, considerando o maior potencial de ganhos financeiros em comparação com outras instituições.

É por isso que as organizações financeiras devem cuidar para que as políticas de segurança sejam feitas sob medida, em função da natureza sensível de seus negócios. Quando se trata de BaaS, o nível de risco envolvido é imenso, devido aos seguintes fatores:

APIs inseguras: As APIs são frequentemente um dos componentes mais expostos da rede de uma organização. Os atacantes procurarão APIs desprotegidas que lhes permitam obter acesso a dados críticos ou lançar um ataque DDoS – prática de “negação de serviço distribuído”, um tipo de ataque que tenta tornar um website ou recurso de rede indisponível inundando-o com tráfego mal-intencionado. O objetivo é interromper a disponibilidade do serviço.

Webhooks vulneráveis: Os webhooks são amplamente utilizados em BaaS por conta da capacidade de permitir que vários sistemas de software se sincronizem e compartilhem informações. Entretanto, webhooks frequentemente são alvos de pedidos forjados, ataques de repetição e outras ameaças que concedem aos hackers acesso não autorizado a uma rede.

Sistemas abertos: Para que empresas não bancárias utilizem as capacidades bancárias, um banco terá que abrir gateways adicionais. Caso não sejam protegidos adequadamente, esses acessos podem ser explorados por intrusos e levar a violações de dados.

Essas vulnerabilidades críticas de segurança enfatizam a necessidade de políticas de defesa específicas em qualquer organização que planeja adotar o BaaS.

Corrigindo brechas de segurança

Um dos fatores importantes a observar durante a construção de uma estratégia de proteção específica para BaaS é que a segurança se torna uma responsabilidade compartilhada.

Além disso, embora a indústria financeira tenha complexidades inerentes e regulamentações de mercado extremas, não há políticas especificamente elaboradas para facilitar o estabelecimento do BaaS de forma segura ou livre de inconvenientes.

As empresas terão de aperfeiçoar as posturas de segurança para atender às exigências de proteção necessárias. As seguintes medidas podem ajudar as partes envolvidas no BaaS a proteger seus perímetros de rede: