Open Finance ou compartilhar a senha do banco? Entenda a diferença

Você baixa um aplicativo de finanças, ele pede para "conectar seu banco" e, logo em seguida, mostra dois campos: agência e conta, e senha. Parece prático. Mas essa tela esconde uma diferença enorme entre duas tecnologias que, para quem está do lado de fora, parecem fazer a mesma coisa.

Antes do Open Finance, muitos aplicativos financeiros funcionavam pedindo a senha do banco. A técnica tem nome, raspagem de tela ou scraping, e ainda aparece por aí. Ela funciona, até o dia em que não funciona, e o risco fica todo com você.

Neste guia você vai entender o que é scraping, como ele se compara ao Open Finance, por que entregar a senha é arriscado mesmo para um app bem-intencionado, como identificar qual método um app usa e como migrar com segurança.

O que é scraping (raspagem de tela)

No scraping, o aplicativo recebe seu usuário e sua senha do banco e usa essas credenciais para entrar na sua conta, como se fosse você. Uma vez lá dentro, um programa "lê" as telas do internet banking e copia saldos, extratos e faturas para o app.

Do ponto de vista do banco, quem está acessando é você. O banco não tem como saber que, na verdade, é um robô de outra empresa. Isso traz três consequências:

• O acesso é total. Tudo o que você vê no internet banking, o robô também pode ver. Dependendo do banco e do tipo de acesso, a credencial também poderia servir para fazer operações.
• Não existe prazo. O acesso dura até você trocar a senha.
• Não existe registro claro. Não há uma tela no banco dizendo "esta empresa tem acesso aos seus dados até tal data".

Além disso, o scraping é frágil. Basta o banco mudar o layout do site, adicionar um passo de segurança ou bloquear acessos automatizados para a conexão quebrar.

O que muda no Open Finance

No Open Finance, a lógica é outra. O app que quer seus dados pede uma autorização, você é levado ao app oficial do seu banco, se autentica lá e aprova o compartilhamento. O banco então envia apenas os dados autorizados, por um canal técnico padronizado.

A senha nunca sai do banco. O app receptor recebe uma permissão limitada, com escopo e prazo, que fica registrada e pode ser cancelada a qualquer momento. As instituições participantes são autorizadas pelo Banco Central e seguem padrões técnicos comuns, com APIs, certificados digitais e criptografia.

Comparativo lado a lado

Por que entregar a senha é arriscado mesmo para um app honesto

Muita gente pensa: "se a empresa é séria, qual o problema?". O problema é que o risco não depende só da intenção da empresa.

A senha passa a existir em mais um lugar

Quanto mais lugares guardam sua credencial, maior a chance de ela vazar. Mesmo com boas práticas, sistemas podem ser invadidos, fornecedores podem falhar e funcionários podem errar. No Open Finance, se a receptora tiver um incidente, sua senha não está lá.

O acesso é mais amplo do que o necessário

Um app de controle de gastos precisa de extrato e fatura. Com a sua senha, ele tem acesso a tudo que você teria. Esse excesso não traz benefício para você, só aumenta o tamanho do problema se algo der errado.

Pode complicar uma contestação

Os termos de uso de muitos bancos dizem que a senha é pessoal e intransferível. Se houver uma movimentação indevida depois que você compartilhou a senha, a discussão sobre de quem é a responsabilidade pode ficar mais difícil. Não é uma regra automática, mas é um risco que você não precisa correr.

Ensina um hábito perigoso

Quem se acostuma a digitar a senha do banco em outros apps fica mais vulnerável a golpes que pedem exatamente isso. A regra simples "senha do banco, só no app do banco" protege muito mais. Ela vale também para chatbots e ferramentas de IA, como explicamos em IA nas finanças com segurança.

Um exemplo para enxergar o tamanho do risco

O Marcos tem R$ 4.200 na conta corrente, R$ 18.000 numa aplicação de liquidez diária no mesmo banco e um cartão com limite de R$ 6.000. Ele quer usar um app só para acompanhar gastos.

Pelo Open Finance, somente leitura, o app vê saldo, extrato e fatura. A exposição máxima é informação. Nenhum dos R$ 28.200 em jogo (4.200 + 18.000 + 6.000 de limite) pode ser movimentado por esse acesso.

Por scraping, com a senha, o app ou quem invadir os sistemas dele tem a mesma visão que o Marcos. Se aquela credencial também permitir operações naquele canal, os R$ 28.200 viram exposição financeira, não só de informação. Mesmo que os bancos tenham outras camadas de proteção, como dispositivos cadastrados e limites, a porta de entrada foi aberta.

A diferença não está no que o app quer fazer. Está no que o acesso permite fazer.

Como saber qual método um app usa

Uma verificação definitiva: depois de conectar, abra o app do seu banco e procure a área de Open Finance. Se a conexão aparecer lá, com nome da empresa e prazo, é Open Finance. O passo a passo dessa área está no guia sobre consentimento no Open Finance.

Já compartilhei minha senha. E agora?

Se você usou um app por scraping no passado, dá para corrigir em poucos passos:

1. Troque a senha do banco no app oficial. Isso corta o acesso antigo.
2. Revise dispositivos e acessos na área de segurança do banco, se ela existir, e remova o que não reconhecer.
3. Exclua sua conta no app antigo e peça a exclusão dos dados, exercendo seus direitos pela LGPD.
4. Confira extratos recentes em busca de algo estranho.
5. Reconecte pelo Open Finance com o app que você quer usar, aprovando no banco.

Se você suspeita de uso indevido, fale com o banco pelos canais oficiais e registre boletim de ocorrência se houver prejuízo.

E a planilha?

Há quem prefira não conectar nada e anotar tudo na mão. É uma escolha válida e a que expõe menos dados. O custo é tempo e disciplina, e muita gente desiste no segundo mês. Se você está nessa dúvida, o comparativo de planilha de gastos ou aplicativo ajuda a decidir. O que não vale é o meio-termo arriscado: um app que pede sua senha.

Como o Otto se conecta aos bancos

O Otto Finanças usa apenas o Open Finance Brasil, por meio do agregador Malvo, com acesso somente leitura. Ele nunca pede a senha do seu banco, não faz Pix e não movimenta dinheiro. A conexão aparece na área de consentimentos do seu banco e pode ser cancelada lá ou no próprio Otto. Para entender todas as camadas de proteção, veja Open Finance é seguro?.

Fontes oficiais e leituras

• Banco Central do Brasil: regulação do Open Finance
• Open Finance Brasil: como o sistema funciona e quem participa
• Lei Geral de Proteção de Dados (Lei 13.709/2018)