Segurança para Correspondente Bancário: contendo fraude no ponto de atendimento e protegendo a integração com a instituição

Por que o correspondente bancário é o elo fraco da cadeia financeira

O correspondente bancário existe para capilarizar o sistema financeiro: lotéricas, redes de varejo, casas de câmbio menores, supermercados e pequenos pontos comerciais passam a oferecer abertura de conta, recebimento de boletos, saques, pagamentos, contratação de crédito e captura de documentos em nome de uma instituição financeira contratante. É um modelo regulado pelo Banco Central, em que a responsabilidade pela atividade permanece com a instituição contratante, mas a execução acontece em milhares de balcões espalhados pelo país, operados por atendentes que raramente têm formação em segurança da informação.

Esse desenho cria uma assimetria perigosa. Do lado do banco, há SOC, antifraude, criptografia de ponta a ponta, segregação de rede e times dedicados. Do lado do correspondente, frequentemente há um computador compartilhado rodando um navegador desatualizado, uma impressora térmica, um leitor biométrico, uma planilha com dados de clientes e uma senha colada no monitor. O atacante não precisa furar o banco: basta comprometer o balcão que já tem o canal autenticado para falar com o banco. O ponto de atendimento vira o ponto de entrada.

Para o próprio correspondente, a segurança deixou de ser opcional por dois motivos práticos. Primeiro, o contrato de correspondência quase sempre traz cláusulas de segurança da informação, auditoria e tratamento de dados que o banco contratante exige e fiscaliza. Segundo, a LGPD trata o correspondente como agente de tratamento (operador, e em vários casos controlador conjunto) dos dados que captura, o que significa exposição direta a sanções da ANPD, ações de titulares e responsabilização civil em caso de vazamento. Segurança virou condição para continuar operando.

As quatro ameaças que mais derrubam pontos de atendimento

1. Fraude transacional no ponto de atendimento

O atendente, ou alguém que assumiu o controle do terminal, executa ou manipula transações em nome de clientes: lançamentos indevidos, desvio de pagamentos, saques fraudulentos, contratação de crédito em nome de terceiros com documentos captados no próprio balcão. Como o terminal já está autenticado contra a instituição, a transação fraudulenta parece legítima na origem. Sem monitoramento de comportamento, a fraude só é descoberta na reclamação do cliente — quando o dinheiro já saiu.

2. Vazamento de dados de clientes captados

A captura de documentos gera um acúmulo de dados sensíveis no ponto de atendimento: imagens de RG e CPF, selfies para prova de vida, comprovantes de renda e residência. Esses arquivos muitas vezes ficam em pastas locais sem criptografia, em pendrives, em e-mails ou em planilhas. Um terminal comprometido ou um insider mal-intencionado exfiltra esse acervo, que alimenta fraudes de identidade e abertura de contas-laranja em escala. Para a LGPD, isso é incidente de segurança com dever de notificação à ANPD e aos titulares.

3. Comprometimento de terminal, integração e tomada de conta de atendentes

Malware bancário, acesso remoto não autorizado ou um terminal sem hardening permitem que o atacante observe e injete tráfego no canal de integração com o banco e tente alcançar o backend, capturando tokens de sessão. Quando a rede do correspondente é plana — terminal, ponto de venda, Wi-Fi do cliente e integração no mesmo segmento — um único equipamento infectado expõe toda a operação. E o vetor mais barato de todos é a tomada de conta (ATO) do atendente: phishing, senha reutilizada já vazada ou falso suporte bastam para o atacante assumir a sessão de um operador legítimo e, com ela, capturar dados e lançar transações sem disparar alarme óbvio. Sem MFA e sem detecção de anomalia de acesso, a tomada de conta é quase invisível.

Conformidade Bacen e LGPD: o correspondente não é isento

Existe um equívoco comum de que, por operar em nome de uma instituição, o correspondente herda a conformidade do banco. Não é assim. A regulamentação de correspondentes no país coloca sobre a instituição contratante o dever de selecionar, capacitar, monitorar e auditar seus correspondentes — o que se traduz, na prática, em exigências contratuais de segurança da informação que recaem sobre o correspondente. O banco precisa demonstrar que controla o risco terceirizado, e por isso fiscaliza.

Sobre dados pessoais, a LGPD se aplica integralmente. Ao capturar e tratar dados de clientes, o correspondente é agente de tratamento e responde por princípios como finalidade, necessidade (minimização), segurança e prestação de contas. Um vazamento dispara o dever de comunicar a ANPD e os titulares em prazo razoável, e expõe a sanções administrativas e a ações de reparação. A figura do encarregado (DPO), o registro das operações de tratamento e a adoção de medidas técnicas e administrativas de segurança deixam de ser teoria.

Quando há captura de dados de cartão ou processamento que toque a cadeia de pagamento com cartões, entra também o PCI-DSS, com exigências específicas de proteção de dados de portador, segmentação de rede, controle de acesso e testes de segurança. A Decripte estrutura o programa de conformidade do correspondente de forma integrada — Bacen, LGPD e, quando aplicável, PCI-DSS — para que os controles conversem entre si em vez de virarem três projetos desconexos de papelada.

Pentest de integração e terminal: encontrar o caminho antes do fraudador

A pergunta que importa para um correspondente é concreta: a partir de um terminal de atendimento, é possível chegar ao backend bancário, capturar dados de clientes ou forjar uma transação? Responder isso por suposição é arriscado. A forma correta é testar — com autorização e método — exatamente o caminho que o atacante percorreria. É para isso que existe o pentest de integração e terminal.

O teste de intrusão da Decripte para esse cenário cobre três frentes que se reforçam. Na frente do terminal, avaliamos o hardening do equipamento de atendimento: serviços expostos, software de acesso remoto, escalonamento de privilégio, persistência de malware, isolamento do navegador, proteção dos arquivos de documentos captados. Na frente da rede, mapeamos a segmentação: o que um terminal comprometido enxerga e alcança, se há caminho do balcão até a integração e até o backend, se o Wi-Fi de cliente está separado da operação. Na frente da aplicação e da integração, testamos as APIs e os fluxos de captura e transação contra a referência OWASP — autenticação, autorização, manipulação de parâmetros, abuso de sessão, validação de dados.

O valor do pentest não é a lista de falhas, e sim a priorização orientada a impacto: o que de fato leva à fraude transacional, ao vazamento em massa ou ao comprometimento da integração recebe correção primeiro. A Decripte entrega o achado com prova de conceito, o caminho de exploração e a recomendação de correção, e — quando contratado em conjunto — acompanha a remediação até o reteste. Antes mesmo do pentest, o diagnóstico gratuito em decripte.io/free já mostra parte da sua superfície exposta sem custo.

SOC 24x7: ver a fraude antes de ela se consumar

A maioria das fraudes em ponto de atendimento não é um evento instantâneo: é uma sequência de pequenos desvios que, observados em conjunto, gritam. Um login de atendente em horário improvável, seguido de um pico de consultas de dados, seguido de transações fora do padrão do ponto. Isoladamente, cada evento passa. Correlacionados em tempo real, são a assinatura de uma tomada de conta ou de um insider em ação. É exatamente isso que um SOC 24x7 faz: transforma ruído em detecção.

O SOC da Decripte ingere os sinais que importam para o correspondente — autenticação dos atendentes, eventos dos terminais, telemetria de endpoint, logs da integração e das transações, eventos de borda — e aplica correlação e regras de detecção desenhadas para o comportamento de fraude do setor. Em vez de esperar o cliente reclamar de um lançamento indevido, o analista vê o desvio se formando e aciona a contenção. Monitoramento humano 24 horas por dia, 7 dias por semana, porque fraude em balcão não respeita horário comercial — pelo contrário, prefere a madrugada e o fim de semana.

Resposta a incidentes: contenção em até 1 hora e forense que preserva a prova

Quando o terminal já está comprometido e a fraude está em curso, cada minuto custa dinheiro, dados e contrato. A resposta a incidentes da Decripte opera com SLA de contenção de até 1 hora: o objetivo imediato é estancar — isolar o terminal afetado, revogar as sessões e credenciais comprometidas, e cortar o caminho do atacante até a integração com o banco — antes de partir para a investigação completa.

Conter sem destruir evidência é a parte difícil, e é o que separa um trabalho amador de uma resposta profissional. A Decripte preserva a cadeia de custódia: imagens forenses do terminal, coleta de logs, linha do tempo dos acessos e transações. Isso importa por três razões. Primeiro, para entender o real alcance — quais clientes, quais dados, quais transações. Segundo, para cumprir a LGPD com precisão na notificação à ANPD e aos titulares (notificar de menos é descumprimento; notificar de mais, sem base, gera pânico e exposição). Terceiro, para sustentar eventual responsabilização do fraudador e a relação com a instituição contratante, que vai exigir o relatório do incidente.

A integração com a instituição contratante exige cuidado adicional: a resposta precisa ser coordenada com o banco, porque o canal autenticado é compartilhado. A Decripte segmenta e, quando necessário, suspende temporariamente a integração do ponto afetado em conjunto com o time do banco, evitando que a contenção de um balcão derrube a operação de todos os outros. Resposta cirúrgica, não pânico generalizado.

Estruturar a segurança para que o próximo incidente não aconteça

Responder bem a um incidente é necessário, mas a meta é não repeti-lo. Depois da contenção, a Decripte estrutura a segurança do correspondente de forma que o ponto de atendimento deixe de ser elo fraco. Isso combina endurecimento técnico dos terminais, segmentação real da rede, autenticação forte e gestão de privilégio dos atendentes, minimização e criptografia dos dados captados, e um programa de conformidade vivo — não um PDF que envelhece na gaveta.

A estruturação é incremental e prioriza pelo que realmente reduz a chance de fraude e vazamento. Para o correspondente, isso costuma começar por três coisas que rendem muito: MFA para todos os atendentes, isolamento dos terminais de atendimento, e tirar os documentos de clientes de pastas locais inseguras. A partir daí, a Decripte evolui o programa com monitoramento contínuo (SOC), gestão de vulnerabilidades e prontidão de resposta — sempre acompanhando como o banco contratante audita e o que a LGPD e o Bacen exigem.

Tudo isso pode começar sem compromisso. O plano gratuito de Gestão de Ameaças em decripte.io/free dá ao correspondente uma leitura inicial da própria exposição — ativos expostos, credenciais vazadas de atendentes, pontos frágeis — para priorizar o que tratar primeiro. Quando fizer sentido evoluir para monitoramento contínuo, pentest ou resposta a incidentes, os planos pagos estão em /planos, em modelo self-service.

Anatomia de um incidente: terminais de correspondente capturando dados em silêncio (cenário ilustrativo)

Como a Decripte responde a um incidente em correspondente bancário

Quando a fraude está em curso ou o terminal já foi comprometido, a resposta segue uma sequência que estanca rápido sem destruir evidência e sem derrubar a operação inteira. SLA de contenção de até 1 hora.

1. Detecção e acionamento: o SOC 24x7 identifica o desvio (login impossível, pico de captura, transação fora do perfil, indício de malware no terminal) e dispara a resposta imediatamente, sem esperar a reclamação do cliente.
2. Triagem e escopo: o analista confirma o comprometimento, identifica quais terminais, atendentes e dados estão envolvidos e estima o alcance — quais clientes e quais transações podem ter sido afetados.
3. Contenção em até 1 hora: isolamento dos terminais comprometidos, revogação de sessões e credenciais de atendentes, e corte do caminho do atacante até a integração com o banco, preservando a operação dos demais pontos.
4. Coordenação com a instituição contratante: como o canal de integração é compartilhado, a Decripte segmenta e, se necessário, suspende temporariamente a integração do ponto afetado em conjunto com o time do banco, evitando impacto generalizado.
5. Forense com cadeia de custódia: imagens dos terminais, coleta de logs e reconstrução da linha do tempo para determinar o vetor inicial, a persistência e o alcance exato do vazamento e da fraude.
6. Erradicação: remoção da persistência e do acesso remoto, reconstrução e hardening dos terminais, rotação de todas as credenciais de atendentes e ativação de MFA.
7. Recuperação controlada: restabelecimento ponto a ponto da integração sob monitoramento reforçado e migração dos dados captados para armazenamento criptografado.
8. Notificação e relatório: apoio ao cumprimento da LGPD (ANPD e titulares, no alcance correto) e entrega do relatório de incidente que a instituição contratante exige, com lições e plano de estruturação.

Como a Decripte estrutura a segurança do correspondente bancário

Depois de conter, a meta é não repetir. A Decripte estrutura a segurança do ponto de atendimento em pilares que se reforçam, priorizando o que mais reduz fraude e vazamento por real investido.

Planos recomendados para Correspondentes Bancários

Perguntas frequentes

Termos do setor

Correspondente bancário

Estabelecimento (lotérica, varejo, etc.) contratado por uma instituição financeira para prestar serviços em seu nome — abertura de conta, recebimentos, pagamentos, captura de documentos — regulado pelo Banco Central, com a responsabilidade pela atividade permanecendo na instituição contratante.

Tomada de conta (ATO)

Account Takeover: ataque em que o fraudador assume o controle da conta de um usuário legítimo — aqui, o login de um atendente — para capturar dados e executar transações em nome dele, sem disparar alarme óbvio.

Segmentação de rede

Separação lógica e física da rede em zonas isoladas, de modo que um equipamento comprometido (um terminal de atendimento) não alcance livremente outras zonas, como a integração com o banco ou o Wi-Fi de clientes.

Cadeia de custódia

Registro íntegro e rastreável de como as evidências de um incidente foram coletadas e preservadas, essencial para determinar o alcance do vazamento, sustentar a notificação à ANPD e apoiar eventual responsabilização.

Agente de tratamento (LGPD)

Sob a LGPD, quem trata dados pessoais — controlador ou operador. O correspondente que captura dados de clientes é agente de tratamento e responde por segurança, minimização e dever de notificação de incidentes.

SOC 24x7

Security Operations Center que monitora ativos, acessos e transações de forma contínua, 24 horas por dia, 7 dias por semana, correlacionando eventos para detectar fraude, tomada de conta e comprometimento antes que o prejuízo se consuma.