CrowdStrike revela grupo brasileiro que tirou ao menos 6 segredos da nuvem de uma instituição financeira e montou painel de Pix em massa

Relatório de Caça a Ameaças 2026 descreve o SLIM SPIDER, que invadiu a nuvem de uma instituição no Brasil em março; ataques de eCrime a ambientes de nuvem cresceram 171%

Divulgação/CrowdStrike

A CrowdStrike, empresa de cibersegurança listada na Nasdaq (CRWD), descreve em seu Relatório de Caça a Ameaças 2026 um novo grupo criminoso brasileiro, batizado de SLIM SPIDER, que mira a tecnologia usada por bancos e fintechs para sustentar as transações do Pix. Segundo o relatório, divulgado no Brasil pelo Let's Money nesta quinta-feira (15), o grupo tem motivação financeira, conhece a fundo os sistemas bancários e os ambientes de nuvem do país e disfarça a invasão como rotina de administração, com credenciais válidas e serviços legítimos.

No fim de março de 2026, o grupo invadiu uma instituição financeira sediada no Brasil atrás de criptoativos e de contas de pagamento instantâneo. O alvo foram os ambientes de nuvem que bancos e fintechs mantêm para operar, onde ficam guardadas as chaves de ativos de alto valor. No mesmo relatório, a CrowdStrike registrou aumento de 171% na atividade de eCrime contra ambientes de nuvem.

O ataque seguiu quatro etapas. Primeiro, o SLIM SPIDER obteve credenciais temporárias de acesso à nuvem da vítima com scripts feitos para deixar o mínimo de rastros. Depois, extraiu pelo menos seis segredos armazenados cujos nomes apontavam para ativos digitais. Com credenciais de uma plataforma de custódia de ativos digitais, chegou à infraestrutura de nuvem e ao ambiente de desenvolvimento de software, onde instalou ferramentas maliciosas, entre elas uma chamada “spi”, provável referência ao Sistema de Pagamentos Instantâneos do Banco Central, que sustenta o Pix.

A empresa também achou três painéis web usados para automatizar o ataque: um para mapear serviços bancários e de pagamento que poderiam ser alvo, outro para pesquisar caixas de e-mail comprometidas e um terceiro feito para disparar transferências Pix não autorizadas em massa a partir de contas invadidas. Um dos painéis, deixado exposto, listava sistemas comprometidos de vários bancos e fintechs do Brasil. O relatório não diz se houve transferência efetiva de recursos nem quantifica perdas.

“Não foi um ataque direto ao Pix ou ao Banco Central, mas aos ambientes que as instituições financeiras mantêm para sustentar suas operações”

Jeferson Propheta, vice-presidente da CrowdStrike para a América do Sul

“O Slim Spider mostra como adversários com motivação financeira estão desenvolvendo habilidades especializadas para ir atrás dos acessos mais próximos de ativos de alto valor. Não foi um ataque direto ao Pix ou ao Banco Central, mas aos ambientes que as instituições financeiras mantêm para sustentar suas operações”, afirmou Jeferson Propheta, vice-presidente da CrowdStrike para a América do Sul. Segundo ele, bancos e fintechs precisam de uma visão unificada de identidades, dispositivos, nuvem e ambientes de desenvolvimento para interromper uma intrusão antes que cause impacto financeiro.

A CrowdStrike recomenda dar a cada usuário e sistema só o acesso de que precisa, proteger e trocar com frequência senhas, chaves e credenciais, revisar contas de serviço e permissões, monitorar quem acessa segredos armazenados e acompanhar mudanças nos ambientes de nuvem e de desenvolvimento. O time OverWatch da empresa criou detecções para o comportamento do grupo, já aplicadas em toda a base de clientes.

Por que importa. Toda fintech que liga conta, Pix e custódia na nuvem guarda chaves que valem dinheiro, e o crime já sabe disso. Quem vende segurança sob medida para esse mercado, como gestão de credenciais, monitoramento de nuvem e antifraude no Pix, tem cliente garantido em cada banco digital, IP e BaaS do país.

Fonte: Let's Money. Texto reescrito pela Redação Mundo das Fintechs.