CrowdStrike: grupo brasileiro mira a nuvem dos bancos no Pix
Relatório da CrowdStrike descreve o SLIM SPIDER, que invadiu a nuvem de uma instituição financeira e usou painel projetado para transferências Pix em massa.
O Relatório de Caça a Ameaças 2026 da CrowdStrike revela um novo adversário brasileiro, batizado de SLIM SPIDER, que tem como alvo a tecnologia que as instituições financeiras utilizam para sustentar as transações do Pix. É um grupo de eCrime com motivação financeira, sediado no Brasil, com profundo conhecimento dos sistemas bancários e dos ambientes de nuvem do país, e que disfarça a atividade de rotina de administração ao usar credenciais válidas e serviços legítimos.
Em uma invasão ocorrida em uma instituição financeira sediada no Brasil no fim de março de 2026, o grupo foi atrás de criptoativos e contas de pagamento instantâneo. O foco foram os ambientes de nuvem que bancos e fintechs mantêm para operar, onde ficam armazenadas as chaves de ativos de alto valor. No mesmo relatório, a CrowdStrike observou um aumento de 171% na atividade de eCrime direcionada a ambientes de nuvem.
SLIM SPIDER · invasão de março de 2026
Da credencial de nuvem ao painel de Pix em massa
Etapas da invasão descritas pela CrowdStrike
1
Coleta de credenciais temporárias de nuvem
2
Pelo menos 6 segredos ligados a ativos digitais
3
Acesso ao ambiente de desenvolvimento de software
4
3 painéis web, um deles para Pix em massa
Relatório de Caça a Ameaças 2026. Fonte: CrowdStrike. Arte: Let’s Money.
Credenciais, segredos e o ambiente de desenvolvimento
O SLIM SPIDER primeiro obteve credenciais temporárias de acesso dentro do ambiente de nuvem da vítima, usando scripts criados especificamente para essa finalidade e projetados para deixar o mínimo possível de rastros.
Em seguida, buscou segredos armazenados e extraiu pelo menos seis cujos nomes apontavam para ativos financeiros digitais. Depois de obter credenciais de uma plataforma de custódia de ativos digitais, o grupo ganhou acesso à infraestrutura de nuvem da instituição e passou para seu ambiente de desenvolvimento de software para instalar ferramentas maliciosas adicionais. Uma delas era chamada “spi”, provável referência ao Sistema de Pagamentos Instantâneos do Banco Central do Brasil, a infraestrutura centralizada que sustenta o Pix.
Publicidade
Painéis para automatizar o ataque
A CrowdStrike também identificou painéis de controle baseados na web que o adversário usou para automatizar partes do ataque: um para mapear serviços bancários e de pagamento que poderiam ser alvo, outro para pesquisar caixas de e-mail comprometidas e um terceiro projetado para realizar transferências Pix não autorizadas em massa a partir de contas comprometidas. Um desses painéis, deixado exposto, listava sistemas comprometidos de diversos bancos e fintechs sediadas no Brasil. O relatório não determina se os recursos foram efetivamente transferidos nem quantifica qualquer perda financeira.
“O Slim Spider mostra como adversários com motivação financeira estão desenvolvendo habilidades especializadas para ir atrás dos acessos mais próximos de ativos de alto valor. Não foi um ataque direto ao Pix ou ao Banco Central, mas aos ambientes que as instituições financeiras mantêm para sustentar suas operações. […] Bancos e fintechs precisam de uma visão unificada de identidades, dispositivos, nuvem e ambientes de desenvolvimento para conectar esses sinais e interromper uma intrusão antes que cause impacto financeiro”, afirmou Jeferson Propheta, vice-presidente da CrowdStrike para a América do Sul.
Como as instituições financeiras podem se proteger
A CrowdStrike recomenda que as instituições financeiras concedam a cada usuário e sistema apenas o acesso de que precisam; protejam e troquem regularmente senhas, chaves e outras credenciais; revisem contas de serviço e permissões; monitorem de perto quem acessa segredos armazenados e acompanhem mudanças nos ambientes de nuvem e de desenvolvimento; e conectem a atividade de identidade, dispositivos e nuvem por meio de threat hunting contínuo.
O time CrowdStrike OverWatch desenvolveu detecções focadas no comportamento do adversário, já implantadas em toda a base de clientes da CrowdStrike, empresa listada na Nasdaq (CRWD).
O SLIM SPIDER não se confunde com o BREEZE COMET, descrito em outro relatório, do Google: em setembro, o Let’s Money mostrou que esse grupo hacker mira Pix e boleto e usa IA.
O que observar
O relatório interessa a bancos, fintechs e plataformas de custódia de ativos digitais que operam em nuvem. Vale acompanhar se as detecções identificam outras intrusões com o mesmo padrão e se novos relatórios esclarecem o ponto que este deixa em aberto: se houve transferência efetiva de recursos.
