Um grupo de cibercriminosos identificado como SLIM SPIDER invadiu sistemas de uma instituição financeira brasileira para obter credenciais e informações associadas a ativos digitais no fim de março de 2026, segundo investigação divulgada pela CrowdStrike. Em vez de atacar diretamente o Pix ou o Banco Central, os invasores exploraram ambientes de nuvem usados por bancos e fintechs, acompanhando um cenário em que a empresa registrou alta de 171% nas atividades de crimes digitais direcionadas a ambientes de nuvem.
Os criminosos utilizaram scripts personalizados para obter credenciais temporárias de acesso à nuvem da instituição. Depois, procuraram informações sigilosas armazenadas no ambiente e extraíram pelo menos seis segredos cujos nomes indicavam ligação com ativos financeiros digitais. Com os acessos obtidos, avançaram para o ambiente de desenvolvimento de software da instituição e instalaram ferramentas maliciosas, incluindo uma chamada “spi”, que pode fazer referência ao Sistema de Pagamentos Instantâneos do Banco Central, embora a relação entre o nome do arquivo e o sistema não tenha sido confirmada.
A investigação identificou ainda painéis de controle acessíveis pela web, usados para automatizar diferentes tarefas. Um deles estava exposto e apresentava uma lista de sistemas comprometidos de bancos e fintechs brasileiras, com funções como mapear serviços bancários e de pagamento, pesquisar caixas de e-mail comprometidas e preparar transferências Pix não autorizadas em massa a partir de contas invadidas. O relatório não informa se as transferências chegaram a ser realizadas nem estima eventuais prejuízos financeiros, tampouco esclarece quantas instituições foram efetivamente afetadas pela operação.
Segundo a CrowdStrike, o SLIM SPIDER utilizou credenciais válidas, serviços legítimos e arquivos maliciosos disfarçados de componentes comuns da infraestrutura, dificultando a identificação de atividades criminosas por se assemelharem à administração rotineira. Jeferson Propheta, vice-presidente da empresa para a América do Sul, afirmou que o grupo desenvolveu técnicas para alcançar acessos próximos de ativos financeiros de alto valor, destacando a necessidade de analisar conjuntamente informações sobre identidades, dispositivos, nuvem e ambientes de desenvolvimento para reconhecer sinais de invasão.
A empresa recomenda que instituições financeiras limitem permissões de acesso, protejam e renovem credenciais, revisem contas de serviço, monitorem alterações nos ambientes de nuvem e desenvolvimento, e correlacionem registros de diferentes sistemas para identificar atividades suspeitas. O caso expõe uma possível vulnerabilidade na cadeia de segurança dos serviços financeiros digitais, mostrando que criminosos podem tentar alcançar operações bancárias por meio dos ambientes que dão suporte a elas, embora não haja confirmação de transferências concluídas ou perdas financeiras relacionadas à invasão até o momento.
