Open Finance é seguro? Criptografia e proteção de dados

Ultima atualizacao: 21 de julho de 2026

Principais lições deste artigo

• O Open Finance regulado pelo Banco Central utiliza padrões de criptografia equivalentes ou superiores aos dos apps bancários tradicionais, com uso obrigatório de certificados ICP-Brasil.
• O consentimento é sempre explícito, detalhado e revogável a qualquer momento, com efeito imediato sobre o fluxo de dados.
• Os tokens de compartilhamento são de leitura apenas e não permitem movimentações financeiras como Pix ou transferências.
• Os riscos mais relevantes estão na engenharia social, não na infraestrutura técnica do sistema, que segue exigências rígidas do Banco Central.
• Abra sua conta grátis no Jota e centralize todos os seus bancos com segurança via Open Finance diretamente no WhatsApp.

Por que a segurança do Open Finance importa para quem usa WhatsApp e Pix todos os dias

O uso intenso de WhatsApp e Pix torna a segurança financeira um tema prático para quem recebe e faz pagamentos todos os dias. O Brasil tem cerca de 147 milhões de usuários ativos no WhatsApp e aproximadamente 95% das empresas brasileiras já usam o aplicativo como canal de vendas ou atendimento. Donos de padaria, lojistas, freelancers e feirantes que fazem Pix diariamente precisam de sistemas que conectem contas bancárias com padrões de proteção claros e verificáveis. O Open Finance regulado pelo Banco Central do Brasil oferece essa estrutura de segurança.

O que é Open Finance e como o Banco Central o regula

Open Finance é o sistema regulado pelo Banco Central do Brasil que permite ao cliente autorizar o compartilhamento de seus dados financeiros entre instituições participantes. A base legal é a Resolução Conjunta BCB/CMN nº 1/2020, que estabelece requisitos técnicos e jurídicos para o compartilhamento de dados. Apenas instituições autorizadas pelo Banco Central podem participar do sistema. O Banco Central pode aplicar multas, excluir participantes do sistema ou liquidar instituições que descumpram as regras de compartilhamento de dados.

A regulação mais recente do Open Finance mencionada é a Instrução Normativa BCB nº 759, de 9 de julho de 2026. Essas normas incluem requisitos técnicos de segurança e definem como as instituições devem proteger os dados compartilhados.

Nível de criptografia do Open Finance comparado com apps bancários tradicionais

Os padrões criptográficos exigidos pelo Banco Central para o Open Finance são equivalentes ou superiores aos utilizados nos aplicativos bancários tradicionais. A tabela abaixo demonstra que o Open Finance iguala ou supera os apps tradicionais em todos os aspectos técnicos e impõe requisitos mais rigorosos em certificação digital e autenticação entre instituições. A comparação considera as especificações do Open Finance Brasil Financial-grade API Security Profile v2.2.0 e a Instrução Normativa BCB nº 759 de 2026.

Padrão	Open Finance	Apps bancários tradicionais	Status
Criptografia de dados	Requisitos de criptografia conforme o manual de segurança	AES-256 (padrão de mercado)	Equivalente
Protocolo de transporte	Protocolos de transporte seguros conforme regulamentação	TLS 1.2+ (padrão de mercado)	Equivalente ou superior
Assinatura de mensagens	Assinatura digital conforme requisitos do BCB	Varia por instituição	Open Finance mais padronizado
Hash de integridade	Mecanismos de integridade conforme manual de segurança	SHA-256 (padrão de mercado)	Equivalente
Certificados digitais	ICP-Brasil obrigatório, com mTLS	Certificados SSL/TLS comerciais	Open Finance mais rigoroso
Autenticação entre instituições	mTLS, OAuth 2.0 e FAPI obrigatórios	Varia por instituição	Open Finance mais padronizado

Toda comunicação no ecossistema do Open Finance ocorre em canais seguros, no mesmo nível de proteção usado para acesso ao internet banking. O Open Finance adiciona autenticação mútua obrigatória entre instituições com certificados ICP-Brasil, requisito que não existe de forma padronizada nos apps tradicionais.

Como funciona o fluxo de consentimento e revogação de compartilhamento

O fluxo de consentimento no Open Finance segue quatro etapas reguladas pela Resolução Conjunta BCB/CMN nº 1/2020:

1. autenticação do titular na instituição transmissora usando senha e biometria;
2. autorização granular do escopo de dados, em que o cliente escolhe exatamente quais categorias compartilhar;
3. transmissão por APIs padronizadas pelo Banco Central com criptografia e certificados ICP-Brasil;
4. armazenamento e processamento pela instituição receptora, com logs de auditoria obrigatórios.

O consentimento precisa ser explícito, detalhado e permitir a escolha de produtos e dados pelo cliente. A revogação pode ocorrer a qualquer momento, em qualquer ambiente participante, e tem efeito imediato: a instituição transmissora interrompe o envio de novas atualizações no mesmo instante.

O Jota, como assistente financeiro com conta digital, utiliza o Open Finance para conectar os bancos do usuário em um único chat no WhatsApp, com toda a segurança exigida pelo Banco Central. Abra sua conta e centralize todos os seus bancos sem instalar nenhum app novo.

Riscos reais versus mitos sobre Open Finance

A distinção entre golpes comuns no WhatsApp e o funcionamento técnico do Open Finance evita medos infundados. A lista abaixo separa mitos e fatos.

• Mito: qualquer empresa pode acessar meus dados pelo Open Finance. Fato: apenas empresas auditadas e aprovadas pelo Banco Central podem participar do sistema.
• Mito: o Open Finance permite transferências sem minha autorização. Fato: tokens da Fase 2 são estritamente de leitura e não podem iniciar Pix, TED, DOC ou pagamentos de boletos.
• Mito: se eu compartilhar dados, perco o controle sobre eles. Fato: o cliente escolhe qual instituição envia dados, qual recebe e por quanto tempo, podendo revogar a qualquer momento.
• Mito: golpistas podem usar o Open Finance para me enganar. Fato: nenhuma instituição legítima solicita credenciais via WhatsApp, telefone ou e-mail, pois toda autenticação ocorre dentro do app oficial do banco.
• Risco real: engenharia social. Um relatório com dados de 36 instituições financeiras mostrou que tentativas de engenharia social cresceram 155% na América Latina, com foco em manipular o usuário para que ele mesmo autorize o compartilhamento. A proteção é comportamental: nunca autorize consentimentos solicitados por terceiros fora do app do seu banco.

Panorama do Open Finance no Brasil: números de adoção e estatísticas atualizadas

O Open Finance brasileiro já opera em grande escala e apresenta baixo índice de incidentes. O ecossistema superou 128 milhões de consentimentos ativos em janeiro de 2026. O sistema já atinge cerca de um terço da população bancarizada, com mais de 55 milhões de clientes compartilhando dados. Mesmo com esse volume, casos de fraude no ecossistema do Open Finance são mínimos, segundo a Associação Brasileira de Fintechs (ABFintechs). Até março de 2026, nenhum dos 12 processos administrativos concluídos pela ANPD desde 2023 envolveu dados recebidos via Open Finance.

Critérios práticos para avaliar a segurança de qualquer solução de Open Finance

Uma verificação rápida antes de conectar qualquer conta reduz o risco e garante que você está lidando com uma solução legítima. Os pontos abaixo cobrem legitimidade, autenticação, privacidade e padrões técnicos.

1. Confirmar a legitimidade: a instituição está listada no diretório público do Banco Central.
2. Verificar o fluxo de autenticação: a autenticação ocorre dentro do app oficial do seu banco, não em tela de terceiros.
3. Revisar o escopo do consentimento: o consentimento especifica quais dados serão compartilhados, por quanto tempo e com qual finalidade.
4. Confirmar a revogação: existe opção de revogar o consentimento diretamente pelo app do banco ou da instituição receptora.
5. Validar os padrões técnicos: a solução utiliza certificados ICP-Brasil e protocolo OAuth 2.0, conforme exigido pela Instrução Normativa BCB nº 720/2026.

Erros e armadilhas comuns ao compartilhar dados

Alguns comportamentos aumentam o risco mesmo em um ambiente tecnicamente seguro. Evite as armadilhas abaixo.

• autorizar consentimentos sem ler quais dados estão sendo compartilhados;
• aceitar solicitações de compartilhamento enviadas por mensagem, e-mail ou ligação, já que o fluxo legítimo sempre ocorre dentro do app do banco;
• esquecer de revogar consentimentos de serviços que não são mais utilizados;
• confundir o Open Finance com screen scraping, prática de fornecer login e senha a terceiros, que é insegura e proibida;
• não verificar se a instituição receptora está autorizada pelo Banco Central antes de concluir o consentimento.

Boas práticas de segurança: checklist acionável

Alguns hábitos simples fortalecem sua segurança ao usar Open Finance.

1. acessar o Registrato do Banco Central periodicamente para verificar quais consentimentos estão ativos;
2. revogar consentimentos de serviços que você não usa mais diretamente pelo app do banco;
3. nunca fornecer senha ou biometria fora do ambiente oficial da sua instituição financeira;
4. ativar notificações de movimentação em todas as contas conectadas;
5. confirmar que a duração do consentimento está dentro do prazo que você considera adequado, com limite máximo de 12 meses;
6. em caso de suspeita de uso indevido, revogar o consentimento imediatamente e notificar a instituição e o Banco Central.

Perguntas frequentes sobre criptografia, privacidade e revogação

O Open Finance usa a mesma criptografia dos apps bancários tradicionais?

O Open Finance utiliza padrões de criptografia no mesmo nível dos apps bancários tradicionais e, em alguns pontos, com mais rigor. O sistema exige TLS 1.2 ou superior para toda transmissão de dados, AES-256 para criptografia de conteúdo, SHA-256 para integridade e certificados ICP-Brasil para autenticação mútua entre instituições. Os apps bancários tradicionais usam padrões similares, mas sem a obrigatoriedade de autenticação mútua padronizada entre sistemas. O Manual de Segurança do Open Finance versão 5.0, instituído pela Instrução Normativa BCB nº 720/2026, torna esses requisitos obrigatórios para todos os participantes.

Se eu revogar o consentimento, meus dados são apagados imediatamente?

A revogação tem efeito imediato sobre o fluxo de dados, pois a instituição transmissora interrompe o envio de novas atualizações no momento da revogação. Os dados já transmitidos antes da revogação permanecem com a instituição receptora, que tem obrigação contratual de excluí-los dentro do prazo declarado no consentimento original, sob supervisão da ANPD. A revogação pode ser feita a qualquer momento, sem necessidade de justificativa, pelo app do banco ou da instituição receptora.

O Open Finance pode ser usado para fazer transferências sem minha autorização?

O Open Finance não permite transferências sem autorização do titular. Os tokens emitidos na Fase 2 do Open Finance são estritamente de leitura e permitem acesso a saldos, extratos e dados cadastrais, mas não autorizam Pix, TED, DOC, pagamento de boletos ou qualquer alteração na conta. Iniciações de pagamento pertencem a um fluxo separado, a Fase 3, com consentimentos distintos e autenticação biométrica obrigatória dentro do app do banco para cada operação.

Como o Jota usa o Open Finance com segurança?

O Jota é um assistente financeiro com conta digital que opera 100% pelo WhatsApp. Ao conectar seus bancos via Open Finance, o Jota segue todos os requisitos regulatórios do Banco Central: o consentimento é concedido dentro do app oficial de cada banco, os dados trafegam por APIs certificadas com criptografia TLS e certificados ICP-Brasil, e o usuário pode revogar o acesso a qualquer momento. O dinheiro não fica armazenado no WhatsApp, mas em infraestrutura regulada pelo Banco Central. A segurança do Jota inclui validação de identidade no onboarding e senha de seis dígitos para cada transação.

Quais dados o Open Finance compartilha e quais ficam protegidos?

O cliente define exatamente quais categorias de dados serão compartilhadas. As opções podem incluir dados cadastrais, saldo, extrato de transações, produtos contratados, investimentos e operações de crédito. Dados não selecionados no consentimento não são transmitidos. A instituição receptora só pode usar os dados para a finalidade declarada no consentimento, e qualquer uso além disso configura violação da LGPD e sujeita a instituição a sanções do Banco Central e da ANPD.

Conclusão: o que você precisa saber para usar Open Finance com tranquilidade

O Open Finance regulado pelo Banco Central do Brasil opera com os padrões de criptografia descritos anteriormente, todos obrigatórios para participantes do ecossistema. O consentimento é granular, limitado a 12 meses e pode ser revogado a qualquer momento. Os tokens de compartilhamento de dados são de leitura apenas e não movimentam valores. Os riscos mais relevantes estão na engenharia social, não na infraestrutura técnica do sistema.

O Jota, assistente financeiro com conta digital, entrega essa estrutura de segurança diretamente no WhatsApp. Com ele, é possível conectar todos os bancos via Open Finance, visualizar saldo consolidado, fazer Pix por áudio, pagar boletos, automatizar tarefas financeiras e ter o saldo com rendimento automático de 100% do CDI, tudo sem instalar nenhum app adicional e com a segurança exigida pelo Banco Central.

Abra sua conta agora e gerencie suas finanças com segurança pelo WhatsApp.