¿Es seguro Open Finance? Riesgos reales y cómo protegerte

"¿Voy a darle acceso a mi cuenta a una aplicación? ¿Y si se filtra?" Esa desconfianza es sana. El dinero es un tema sensible, y cada mes aparece la noticia de una estafa nueva. Antes de conectar cualquier cosa a tu banco, tiene sentido entender qué te protege y qué no.

La respuesta corta es que Open Finance Brasil se diseñó para ser más seguro que las alternativas que existían antes. La respuesta honesta es que ningún sistema está libre de riesgo, y el eslabón más débil suele ser el fraude que intenta engañar a la persona, no la tecnología.

En esta guía vas a ver las capas de protección de Open Finance, los riesgos que existen de verdad, cómo reconocer una pantalla falsa, qué hacer si algo sale mal y una lista de verificación para conectar tu cuenta con tranquilidad.

La respuesta corta: seguro por diseño, no a prueba de todo

Open Finance Brasil está regulado por el Banco Central do Brasil y el Consejo Monetario Nacional (CMN). Eso significa reglas obligatorias de participación, estándares técnicos comunes y fiscalización. No es un acuerdo informal entre empresas.

Ser "seguro por diseño" quiere decir que el sistema se construyó para limitar los daños incluso cuando algo falla. Tus datos no quedan abiertos a cualquiera. Cada acceso lo autorizas tú, con alcance y plazo definidos, y pasa por canales cifrados entre instituciones autorizadas.

Pero la seguridad no es un interruptor de "encendido o apagado". Es una suma de capas. Entender cada una ayuda a ver dónde está realmente el riesgo.

Las capas de protección de Open Finance

Fíjate en que ninguna capa resuelve todo por sí sola. La fuerza está en la combinación. Aunque una empresa receptora tuviera un problema, no tendría tu contraseña, solo tendría los datos que autorizaste y solo por un tiempo.

Solo lectura frente a iniciación de pagos

Hay dos usos muy distintos. El intercambio de datos es de solo lectura: la app ve saldo, extracto o factura, pero no toca el dinero. La iniciación de pagos permite que una app inicie un Pix (el sistema de pagos instantáneos del Banco Central), pero cada pago debe aprobarse en la app de tu banco.

Si solo quieres ordenar tus finanzas, el acceso de solo lectura reduce mucho el riesgo. El peor escenario de una app de lectura es la exposición de información, no un retiro de dinero.

Los riesgos reales, con honestidad

Decir que algo es "100% seguro" sería deshonesto. Estos son los riesgos que conviene conocer:

1. Fraude que imita la pantalla de consentimiento

Es el riesgo más concreto. Los estafadores pueden crear sitios, mensajes o apps falsos que copian el aspecto de una autorización de Open Finance y piden tu contraseña, token o el código que recibiste por SMS. Si lo escribes, entregaste la llave de tu cuenta, y eso no tiene nada que ver con el verdadero Open Finance.

2. Ingeniería social por teléfono o mensaje

Alguien se hace pasar por empleado del banco o de una app, dice que "necesita validar tu Open Finance" y te pide aprobar algo, dar un código o hacer un Pix de prueba. Ningún banco hace eso. Es el mismo guion de las estafas con Pix más comunes en Brasil, como el falso familiar por WhatsApp o la falsa central de atención, solo que con otra excusa.

3. Compartir más de lo necesario

El consentimiento es legítimo, pero aprobaste grupos de datos que la app ni usa, o conectaste un servicio que ya ni recuerdas. No es una invasión, pero aumenta tu exposición sin necesidad.

4. Uso de los datos por la empresa receptora

La receptora debe usar los datos solo para la finalidad informada, según la LGPD. Aun así, conviene elegir empresas que expliquen con claridad qué hacen, dónde guardan los datos y cómo pedir su eliminación.

5. Fallas técnicas e incidentes

Instituciones, sistemas y proveedores pueden fallar. El diseño de Open Finance reduce el impacto (sin contraseña, alcance limitado, plazo), pero no hace imposibles los incidentes.

Cómo reconocer una pantalla falsa

La regla que resuelve casi todo: la autorización legítima termina dentro de la app oficial de tu banco, abierta desde tu propio celular, donde te identificas como siempre.

Señales de alerta:

• Te piden usuario y contraseña del banco en un sitio, formulario o dentro de una app que no es la del banco.
• Te piden un código de verificación, token o contraseña por teléfono, WhatsApp o correo electrónico.
• El mensaje llega sin que hayas iniciado nada, con urgencia ("tu acceso será bloqueado hoy").
• El enlace tiene una dirección extraña, acortada o con errores de escritura.
• Te piden hacer un Pix o una transferencia "para validar" la conexión.

Open Finance frente a otras formas de dar acceso

Para entender por qué Open Finance se considera más seguro, compáralo con las alternativas:

La planilla es la opción más "cerrada", pero da trabajo y suele abandonarse; si la prefieres, en cómo controlar tus gastos tienes un método simple. El scraping (raspado de pantalla, en el que la app entra a tu banco con tu contraseña como si fuera tú) es el más riesgoso: da acceso amplio y viola los términos de muchos bancos. Open Finance queda en el medio: practicidad con control.

Un escenario concreto: qué está en juego

Piensa en Rafael. Tiene R$ 3.500 en la cuenta y R$ 12.000 en una caixinha (subcuenta de ahorro) para su fondo de emergencia en el mismo banco. Conecta esa cuenta a una app de control financiero.

Si la conexión es por Open Finance, de solo lectura, la app puede ver los R$ 15.500 (3.500 + 12.000) y el extracto. No puede mover ni un centavo. Si la app tuviera un problema de seguridad, el daño posible sería la exposición de esa información, lo cual es malo, pero no vacía la cuenta.

Ahora imagina que Rafael hubiera caído en una pantalla falsa y escrito la contraseña del banco y el código del SMS. En ese caso, el estafador tendría acceso a la app del banco y podría intentar mover los R$ 15.500, dentro de los límites de transacción de la cuenta. Por eso el peligro real no está en el consentimiento legítimo, sino en la contraseña entregada fuera del lugar correcto.

Una protección extra que sirve en ambos casos: ajustar los límites de Pix y de transferencias a tu rutina reduce el daño de cualquier fraude. Por defecto, el Pix nocturno (de 20 h a 6 h) tiene un límite de R$ 1.000 para personas físicas, y los aumentos de límite tardan de 24 a 48 horas en aplicarse.

Qué hacer si sospechas de algo

1. Revoca el consentimiento sospechoso en la sección de Open Finance de la app de tu banco.
2. Cambia la contraseña del banco si la escribiste en algún lugar fuera de la app oficial.
3. Llama al banco al número oficial (en el dorso de la tarjeta o en la app), nunca a un número que te llegó en el mensaje.
4. Revisa extractos y facturas de los últimos días en busca de movimientos extraños.
5. Haz la denuncia policial (boletim de ocorrência) si hubo pérdidas, y pide al banco la impugnación por los canales oficiales.

Si el problema involucra a la empresa que recibió los datos, puedes ejercer tus derechos de la LGPD: pedir acceso a la información, su corrección o su eliminación.

Lista de verificación antes de conectar tu cuenta

• ¿La empresa explica con claridad para qué usará tus datos?
• ¿Te llevaron a la app oficial de tu banco para autorizar?
• ¿Los grupos de datos pedidos tienen sentido para el servicio?
• ¿Está claro el plazo de la autorización?
• ¿La app pide solo acceso de lectura, si lo que quieres es ordenar tus finanzas?
• ¿Sabes dónde cancelarla después?

Si respondes "sí" a todo, el riesgo es bajo y está bien controlado. Si algo te suena raro, detente.

Cómo maneja Otto la seguridad

Otto Finanças conecta tus cuentas mediante Open Finance Brasil, a través del agregador Malvo, con acceso de solo lectura. No pide la contraseña de tu banco, no hace Pix y no mueve dinero. Puedes cancelar la conexión en la app del banco o en Otto. Y al usar el chat con Otto vale la misma regla que con cualquier herramienta de IA: nunca escribas contraseñas ni códigos, como explicamos en cómo usar IA en tus finanzas con seguridad.

Fuentes oficiales y lecturas

• Banco Central do Brasil (en portugués): regulación de Open Finance y orientaciones de seguridad
• Open Finance Brasil (en portugués): portal oficial con explicaciones y participantes
• Ley General de Protección de Datos, Lei 13.709/2018 (en portugués)