Criminosos brasileiros identificados como SLIM SPIDER invadiram, no fim de março de 2026, a infraestrutura de nuvem de uma instituição financeira para roubar credenciais e informações sobre ativos digitais, segundo a CrowdStrike.
O grupo não mirou diretamente o Pix e nem o Banco Central. Os ambientes que sustentam bancos e fintechs foram explorados, alvo cada vez mais comum em operações dessa escala. A CrowdStrike registrou alta de 171% nas atividades de crimes digitais direcionadas a ambientes de nuvem.
O caso mostra como criminosos especializados contornam as defesas do sistema de pagamentos: eles penetram na cadeia tecnológica que o sustenta, onde as brechas costumam ser maiores e menos monitoradas.
Credenciais temporárias obtidas por scripts
O grupo SLIM SPIDER utilizou scripts personalizados para capturar chaves de acesso temporário aos ambientes em nuvem da instituição. Com essas credenciais, os invasores se movimentaram como técnicos legítimos. Essa tática abre portas para áreas sensíveis sem levantar alertas imediatos.
Esse tipo de entrada representa a primeira etapa de invasões mais profundas, pois oferece acesso a regiões restritas da rede sem comportamento que desperte atenção dos sistemas de monitoramento. A partir daí, os invasores ganham tempo e informações para planejar próximos passos.
Seis segredos extraídos da nuvem
Pelo menos seis informações sigilosas foram retiradas do ambiente comprometido — todas com nomes que remetiam a ativos financeiros digitais. A seleção cuidadosa sugere que o grupo já sabia o que procurava dentro da rede: dados que pudessem converter em acesso a operações de maior valor.
Essa extração costuma preceder etapas mais avançadas do ataque, quando criminosos já possuem inteligência suficiente para localizar e explorar sistemas críticos, e o padrão revela organização prévia, não ação improvisada.
Ferramentas maliciosas instaladas no desenvolvimento
Com os primeiros acessos, os invasores migraram para o ambiente de desenvolvimento de software da instituição e instalaram ferramentas maliciosas camufladas entre arquivos de rotina da equipe técnica.
Uma delas recebeu o nome de “spi”, que poderia remeter ao Sistema de Pagamentos Instantâneos do Banco Central, a infraestrutura que sustenta o Pix.
A relação entre o arquivo e o sistema, porém, não foi confirmada pela investigação. O importante é que criminosos conseguiram ocultar código malicioso num local onde alterações técnicas são frequentes e tendem a passar despercebidas.
Painéis expostos controlavam as operações
A investigação encontrou painéis de automação acessíveis pela internet, criados para coordenar diferentes tarefas do ataque. Um deles ficava exposto e listava sistemas de bancos e fintechs brasileiras já comprometidos.
A existência de infraestrutura própria para gerenciar a operação sugere grupo especializado e estruturado, com divisão de funções e monitoramento das atividades ilícitas. Padrão desse tipo costuma indicar operações de maior envergadura.
Funções criadas para saquear contas
Os painéis serviam para mapear serviços bancários e de pagamento vulneráveis, vasculhar caixas de e-mail invadidas e preparar transferências Pix não autorizadas em massa a partir de contas comprometidas. Cada função representava etapa distinta: coleta de dados, identificação de alvos, execução de roubos.
O relatório não confirma se as transferências chegaram a sair do papel nem estima perdas financeiras. A investigação deixa em aberto quantas instituições foram efetivamente impactadas pela operação do SLIM SPIDER.
Detecção dificultada por técnicas sofisticadas
O grupo combinou credenciais válidas, serviços legítimos e arquivos maliciosos disfarçados de componentes normais da infraestrutura. Essa combinação pode dificultar a identificação de atividades criminosas, porque parte das ações se assemelha à administração rotineira de sistemas.
O SLIM SPIDER originou-se como dissidência especializada do Plump Spider, grupo brasileiro monitorado desde 2023. Em contexto mais amplo, um ataque anterior ao BTG Pactual resultou em desvio de recursos, com recuperação parcial.
O que significa na prática: instituições “frágeis” perdem acesso ao Pix
O Banco Central começou a estudar restrições específicas para instituições financeiras com segurança cibernética deficiente. As que não atenderem aos requisitos mínimos de proteção poderão ter o acesso ao Pix bloqueado, limitado a certos horários ou valores máximos, ou ser impedidas de registrar novas chaves.
Essas limitações transformam a segurança de um problema técnico em uma questão de sobrevivência operacional para pequenas fintechs e instituições menores, obrigando-as a investir em proteção.
