Segurança para Subadquirentes de Pagamento: o elo do arranjo que concentra dados de cartão e dinheiro

Por que o subadquirente virou o elo mais visado do arranjo de pagamento

O arranjo de pagamento brasileiro foi desenhado em camadas. No topo estão os instituidores de arranjo (as bandeiras), abaixo as credenciadoras/adquirentes principais, e na ponta operacional os subadquirentes — também chamados de facilitadores ou gateways de subadquirência. O subadquirente é quem habilita milhares de pequenos e médios lojistas a aceitar cartão sem que cada um precise ter contrato direto com uma adquirente. Ele agrega, liquida, faz o split entre lojista e marketplace, antecipa recebíveis e, crucialmente, toca o dado de cartão no caminho. Essa posição intermediária é justamente o que faz dele um alvo desproporcional: ele concentra, num único ambiente, três coisas que atacantes querem — dados de portador (PAN, validade, CVV), dinheiro em trânsito (liquidação e antecipação) e a confiança de milhares de checkouts que ele não controla diretamente.

A assimetria é o problema central. O subadquirente é contratualmente responsável pela segurança do fluxo de pagamento perante a adquirente e as bandeiras, mas o ponto de entrada do dado de cartão muitas vezes é o checkout do lojista — código que roda no site de um terceiro, hospedado em infraestrutura que o subadquirente não administra, mantido por equipes que raramente têm maturidade de segurança. O subadquirente fornece o SDK, o iframe, o botão de pagamento ou o redirect; o lojista monta a página ao redor. Se a página do lojista for comprometida, o atacante captura o dado antes que ele chegue ao ambiente tokenizado do subadquirente. O risco é do lojista na origem, mas a violação PCI e o dano reputacional respingam no subadquirente.

Some-se a isso o contexto regulatório. O PAN é, simultaneamente, dado regulado por PCI-DSS (padrão das bandeiras), dado pessoal sob a LGPD (e portanto sujeito à ANPD), e parte de uma operação fiscalizada pelo Banco Central no que toca arranjos de pagamento. Um único vazamento de cartões dispara três frentes ao mesmo tempo: a obrigação contratual com a adquirente e as bandeiras (que podem aplicar multas e até descredenciar), a notificação à ANPD por incidente com dado pessoal, e o escrutínio prudencial. O subadquirente que trata segurança como custo de TI descobre, no pior momento, que ela era custo de licença para operar.

As quatro ameaças que definem o risco do subadquirente

1. Skimming / Magecart no checkout integrado dos lojistas

Magecart é o nome genérico para web skimming: o atacante injeta um trecho de JavaScript malicioso na página de checkout e esse script, rodando no navegador do comprador, lê os campos do formulário de cartão (número, validade, CVV, nome) e os envia para um domínio controlado pelo criminoso. O detalhe que torna o magecart devastador para subadquirentes é o ponto de captura: o dado é roubado no front-end, antes de qualquer tokenização ou criptografia do lado servidor. Firewall de rede não vê, WAF do gateway não vê, criptografia em trânsito TLS não ajuda — o TLS protege o canal até o atacante, que coleta o dado em claro porque o script está dentro da própria página. A injeção raramente acontece no código do subadquirente; ela acontece em uma biblioteca de terceiros que o lojista carregou (uma tag de analytics, um chat, um plugin de e-commerce desatualizado) ou no CMS do lojista comprometido. A contramedida é controle de integridade de scripts no front-end (Subresource Integrity, Content Security Policy, monitoramento de scripts de terceiros — requisitos 6.4.3 e 11.6.1 do PCI-DSS v4.0.1) somado a um SOC capaz de correlacionar exfiltração e comportamento anômalo de checkout em tempo real.

2. Vazamento de PAN no fluxo de tokenização e 3. Fraude de split e antecipação

A tokenização existe para que o subadquirente não precise guardar o PAN em claro: o número real do cartão vira um token e o mapeamento token-PAN fica num cofre protegido (token vault). O risco surge nas bordas: se o PAN aparece em log de aplicação por engano, em cache, em mensagem de fila, em backup não cifrado, em homologação povoada com dado de produção, ou se a API aceita detokenização sem controle de acesso rigoroso, o vault vira irrelevante — o dado vazou pela fresta. Violações PCI no fluxo de tokenização quase nunca são falha do algoritmo; são falha de disciplina operacional. Já a fraude de split e antecipação muda de natureza: não é invasão, é abuso de regra de negócio. No split, o valor de uma transação é dividido entre partes; manipular o destino de um repasse, inflar comissão de conta cúmplice ou criar lojistas-fantasma desvia dinheiro real sem disparar alarme de intrusão. Na antecipação, injetar transações falsas ou coordenar chargebacks após antecipar saca dinheiro que nunca existirá. Essas fraudes vivem na camada transacional e só são detectadas por análise de comportamento.

4. Comprometimento de chave de criptografia em HSM

O HSM (Hardware Security Module) é o cofre físico-lógico que guarda e usa as chaves que protegem o token vault e as operações criptográficas do subadquirente. Comprometer uma chave-mestra é o cenário mais catastrófico: com ela, o atacante potencialmente detokeniza cartões em massa, forja autenticações ou decifra dados em repouso. O comprometimento raramente é a quebra criptográfica do HSM em si — é o entorno: credenciais administrativas mal protegidas, ausência de dual control e segregação de funções na operação de chaves, procedimentos de rotação inexistentes, ou um operador com privilégio excessivo. A defesa é menos sobre o hardware e mais sobre governança de chaves: quem pode invocar quais operações, sob qual aprovação, com qual auditoria.

Como a Decripte enxerga o ambiente de dados de portador (CDE)

Toda a estratégia de segurança de um subadquirente gira em torno de uma pergunta: onde, exatamente, o dado de cartão existe em claro, ainda que por milissegundos? A resposta define o Cardholder Data Environment — o conjunto de sistemas, redes e processos que armazenam, processam ou transmitem dados de portador. Em PCI-DSS, tudo que está dentro do CDE está em escopo de avaliação; tudo que está conectado ao CDE sem segregação adequada também entra em escopo. O erro recorrente de subadquirentes é subestimar o tamanho do CDE — esquecer que o checkout do lojista, o SDK que eles distribuem, a função de detokenização e até o ambiente de homologação com dado real fazem parte dele.

Com esse mapa, a segregação deixa de ser uma palavra de auditoria e vira arquitetura. A Decripte trabalha para que o CDE seja o menor ambiente possível, isolado por controles de rede e identidade, com egresso controlado (o CDE não deveria poder falar com a internet livremente — isso por si só dificulta exfiltração), e com o front-end de checkout instrumentado para detectar e bloquear scripts não autorizados. Reduzir o escopo do CDE não é só conformidade barata: é redução de superfície de ataque real. Quanto menos lugares onde o PAN existe em claro, menos lugares para o magecart e o vazamento acontecerem.

Detecção: o que o SOC 24x7 da Decripte observa num subadquirente

Detectar incidentes num subadquirente exige juntar dois mundos que muitas operações tratam separadamente: a telemetria técnica (logs de aplicação, rede, identidade, WAF) e a telemetria transacional (padrões de pagamento, split, antecipação, chargeback). O SOC da Decripte correlaciona os dois. Um pico de detokenizações fora do horário típico, vindo de um IP novo, associado a um operador que normalmente não faz aquilo, e seguido de uma transferência de antecipação incomum — nenhum desses sinais isolado é alarme, mas a sequência é. É essa correlação que separa monitoramento de log de detecção de incidente real.

A diferença prática do SOC 24x7 é o tempo. Magecart e desvio de antecipação são operações que rendem ao atacante enquanto não são detectadas — cada hora a mais é mais cartão capturado ou mais dinheiro desviado. Um SOC que olha o dashboard só em horário comercial entrega ao atacante todas as noites e fins de semana. A Decripte monitora continuamente e aciona a resposta no instante em que o padrão é confirmado, não no próximo dia útil.

Resposta a incidentes: o relógio que corre em duas frentes

Quando um incidente em subadquirente é confirmado, dois relógios começam a contar. O primeiro é técnico: cada minuto sem contenção é mais dado exfiltrado ou mais dinheiro desviado. O segundo é regulatório: a partir da ciência do incidente, abrem-se janelas de notificação — à ANPD por incidente com dado pessoal que possa gerar risco aos titulares, e às bandeiras e à adquirente pelos contratos de credenciamento, que frequentemente exigem comunicação imediata de comprometimento de dados de cartão e podem demandar forense por investigador qualificado (PFI - PCI Forensic Investigator). A resposta da Decripte é desenhada para servir aos dois relógios ao mesmo tempo: conter rápido para parar o sangramento, e preservar evidência para que a forense sustente as obrigações regulatórias e a comunicação com bandeiras e ANPD.

A contenção em um magecart, por exemplo, não é só remover o script malicioso. É identificar o vetor de injeção (o checkout do lojista comprometido, a biblioteca de terceiros, a tag adulterada), bloquear a exfiltração no ponto de borda, aplicar Content Security Policy restritiva que impeça a comunicação com o domínio do atacante, e — porque o dado já capturado precisa de tratamento — determinar a janela de exposição (desde quando o script estava ativo, quantas transações passaram por aquele checkout) para dimensionar a notificação. Tudo isso dentro do SLA de contenção da Decripte de até 1 hora a partir do acionamento.

Conformidade PCI-DSS sem teatro de auditoria

PCI-DSS v4.0.1 é o padrão vigente das bandeiras para quem toca dado de cartão. Para subadquirentes, dois conjuntos de requisitos mudaram o jogo recentemente. O primeiro trata de scripts de página de pagamento: o padrão passou a exigir que toda script carregada e executada na página de pagamento seja gerenciada e tenha sua integridade verificada, e que haja mecanismo para detectar alteração não autorizada de cabeçalhos HTTP e do conteúdo da página de pagamento — exatamente a contramedida para magecart. O segundo reforça a segregação de funções, autenticação forte e gestão de criptografia. A Decripte traduz esses requisitos em arquitetura e operação, não em planilha de evidência para o auditor.

A diferença entre conformidade de papel e segurança real aparece no incidente. Um subadquirente que tem o certificado PCI mas nunca testou a segmentação do CDE descobre, no meio de um vazamento, que a rede corporativa conversava com o token vault o tempo todo. A Decripte valida os controles com pentest — não confia que a configuração descrita no documento é a que está rodando em produção.

Pentest de gateway e checkout: provar que o controle funciona

O pentest de um subadquirente tem alvos específicos que um teste genérico de aplicação web não cobre. A Decripte testa o gateway de pagamento e o checkout como o atacante real testaria: tenta injetar script no fluxo de checkout para validar se Content Security Policy e controle de integridade realmente bloqueiam; tenta abusar da API de tokenização e detokenização; tenta manipular regras de split e parâmetros de antecipação para forçar lógica de negócio indevida; tenta atravessar a segmentação do CDE a partir de um ponto fora dele; e verifica se o PAN escapa para logs, mensagens de erro ou respostas de API.

O valor do pentest não é a lista de achados — é a priorização. A Decripte entrega cada achado com contexto de exploração real e impacto regulatório, separando o que permite vazamento de cartão (risco PCI e LGPD imediato) do que é higiene. Para um subadquirente, saber qual furo libera o PAN é a diferença entre corrigir o que importa e gastar trimestre inteiro com ruído de baixa severidade.

Antifraude transacional e governança de chaves: defender o dinheiro e o cofre

A maior parte da literatura de segurança fala de dados; no subadquirente, metade do risco é dinheiro. Split e antecipação são vetores de perda financeira direta que não dependem de invasão técnica. O SOC antifraude da Decripte modela o comportamento normal de cada lojista e de cada operação de split e antecipação, e alarma o desvio: um lojista recém-cadastrado movimentando volume incompatível com seu perfil, um repasse cujo destino mudou sem justificativa, uma antecipação contra um fluxo de recebíveis que estatisticamente não se sustenta, ou um padrão de chargeback que aparece logo após a antecipação ser paga. Esse antifraude também protege a relação com a adquirente: excesso de fraude e chargeback degrada os índices que as bandeiras monitoram e pode levar a penalidades ou descredenciamento.

A última camada estrutural é a que protege o cofre e a borda. A governança de chaves em HSM precisa garantir que nenhuma pessoa sozinha possa invocar operações críticas (dual control), que funções administrativas e operacionais sejam separadas (segregação de funções), que cada operação de chave seja auditável, e que haja procedimento de rotação. Na borda, a segurança de borda (WAF e mitigação de DDoS) protege o gateway de pagamento da indisponibilidade — um DDoS contra o checkout num pico de vendas é tanto perda financeira direta quanto, às vezes, cortina de fumaça para um ataque paralelo. A Decripte integra WAF, mitigação de DDoS e a governança de chaves à mesma operação de SOC, para que borda e cofre não sejam pontos cegos administrados por equipes separadas.

Cenário ilustrativo: magecart no checkout de um lojista de subadquirente

Como a Decripte responde a um incidente em subadquirente

A resposta a incidentes da Decripte para subadquirentes é desenhada para servir simultaneamente ao relógio técnico (parar a exfiltração ou o desvio) e ao relógio regulatório (preservar evidência para notificar ANPD e bandeiras dentro do prazo). O ciclo, do alerta à reestruturação:

1. Detecção e confirmação no SOC 24x7: correlacionar telemetria técnica (integridade de scripts, exfiltração, acesso a APIs de tokenização, operações de HSM) com telemetria transacional (split, antecipação, chargeback) para distinguir incidente real de ruído.
2. Triagem e escopo: determinar o que foi comprometido, a janela de exposição, quais lojistas e quantas transações foram afetadas, e se o token vault e o HSM foram tocados ou se o roubo ficou no front-end.
3. Preservação de evidência: coletar imagens forenses, scripts maliciosos, logs de borda e tráfego de exfiltração antes de qualquer remediação, mantendo a cadeia de custódia exigida pela forense PCI.
4. Contenção em até 1 hora: cortar a exfiltração e o acesso do atacante isolando o ambiente afetado, aplicando Content Security Policy e bloqueio de borda, sem destruir a evidência.
5. Erradicação: rastrear e eliminar a raiz (vetor de injeção, biblioteca comprometida, credencial vazada, regra de split abusada) e fechar a porta de reincidência.
6. Forense PCI e laudo: dimensionar o universo de dados expostos e produzir a documentação que sustenta a comunicação a bandeiras, adquirente e ANPD dentro dos prazos contratuais e legais.
7. Recuperação monitorada: retornar a operação com os controles reforçados e monitoramento contínuo do ponto que falhou.
8. Lições e reestruturação: converter o incidente em política — reduzir escopo do CDE, instrumentar verificação permanente de integridade de checkout e ajustar o SOC para detectar o mesmo padrão em minutos.

Como a Decripte estrutura a segurança de um subadquirente

Estruturar a segurança de um subadquirente é encolher o ambiente de dados de portador, monitorar continuamente os pontos onde o cartão e o dinheiro existem, e provar que os controles funcionam antes do incidente. Os pilares:

Planos recomendados para Subadquirentes

Perguntas frequentes

Termos do setor

Subadquirente

Participante do arranjo de pagamento que habilita milhares de lojistas a aceitar cartão sem contrato direto com a adquirente principal, agregando, liquidando, fazendo split e antecipando recebíveis. Por tocar dado de cartão e dinheiro em trânsito, concentra risco PCI-DSS e financeiro.

Magecart / Web skimming

Ataque em que um JavaScript malicioso é injetado na página de checkout e, rodando no navegador do comprador, captura os dados do cartão (PAN, validade, CVV) antes da tokenização, exfiltrando-os para um domínio do atacante sem nunca passar pela rede do subadquirente.

CDE (Cardholder Data Environment)

Conjunto de sistemas, redes e processos que armazenam, processam ou transmitem dados de portador de cartão. Tudo dentro do CDE — e tudo conectado a ele sem segregação — entra em escopo de avaliação PCI-DSS. Reduzir o CDE reduz a superfície de ataque.

Tokenização

Substituição do número real do cartão (PAN) por um token sem valor fora do contexto, cujo mapeamento token-PAN fica num cofre protegido (token vault). Protege o dado em repouso, mas não cobre o PAN antes da tokenização nem o que escapa para logs e ambientes de teste.

HSM (Hardware Security Module)

Módulo de segurança que guarda e usa as chaves criptográficas que protegem o token vault e as operações do subadquirente. Seu risco principal é a governança do entorno — dual control, segregação de funções, rotação e auditoria — não a quebra do hardware.

Split de pagamento

Divisão automática do valor de uma transação entre as partes (lojista, marketplace, subadquirente). Como é lógica de negócio, vira alvo de fraude por manipulação de destino e percentual, lojista-fantasma e abuso de antecipação — detectável por antifraude transacional, não por defesa de perímetro.