O Relatório de Caça a Ameaças 2026 da CrowdStrike revela um novo adversário brasileiro, batizado de SLIM SPIDER, que tem como alvo a tecnologia que as instituições financeiras utilizam para sustentar as transações do Pix. O SLIM SPIDER é um grupo de eCrime com motivação financeira, sediado no Brasil, com profundo conhecimento dos sistemas bancários e dos ambientes de nuvem do país.
Em uma invasão ocorrida em uma instituição financeira sediada no Brasil no fim de março de 2026, o grupo foi atrás de criptoativos e contas de pagamento instantâneo. Em vez de atacar diretamente o Pix ou o Banco Central, o SLIM SPIDER concentrou-se nos ambientes de nuvem que bancos e fintechs mantêm para operar, onde ficam armazenadas as chaves de ativos de alto valor. O caso reflete uma tendência mais ampla: a CrowdStrike observou um aumento de 171% na atividade de eCrime direcionada a ambientes de nuvem.
Principais conclusões sobre o SLIM SPIDER:
- Mira os sistemas mais próximos do dinheiro: o adversário demonstrou conhecimento detalhado do ecossistema bancário brasileiro e de ambientes distribuídos entre múltiplos provedores de nuvem.
- Caça a chaves digitais e senhas: usando scripts personalizados, coletou credenciais temporárias de nuvem e extraiu pelo menos seis segredos cujos nomes apontavam para ativos financeiros digitais.
- Movimentação entre sistemas: após obter credenciais de uma plataforma de custódia de ativos digitais, acessou a infraestrutura de nuvem da instituição e, em seguida, seu ambiente de desenvolvimento de software.
- Esconderijo à vista de todos: ao utilizar credenciais válidas, serviços legítimos e arquivos maliciosos disfarçados de componentes rotineiros de infraestrutura, o adversário fez com que sua atividade parecesse uma rotina de administração normal e mais difícil de detectar.
Seguindo o dinheiro até a nuvem
O SLIM SPIDER primeiro obteve credenciais temporárias de acesso dentro do ambiente de nuvem da vítima, usando scripts criados especificamente para essa finalidade e projetados para deixar o mínimo possível de rastros.
Em seguida, buscou segredos armazenados e levou aqueles ligados a ativos financeiros digitais. Com eles, o grupo ganhou acesso à infraestrutura de nuvem da instituição e passou para seu ambiente de desenvolvimento de software, provavelmente usando credenciais comprometidas, para instalar ferramentas maliciosas adicionais. Uma delas era chamada “spi”, provável referência ao Sistema de Pagamentos Instantâneos do Banco Central do Brasil, a infraestrutura centralizada que sustenta o Pix.
A CrowdStrike também identificou painéis de controle baseados na web que o adversário usou para automatizar partes do ataque: um para mapear serviços bancários e de pagamento que poderiam ser alvo, outro para pesquisar caixas de e-mail comprometidas e um terceiro projetado para realizar transferências Pix não autorizadas em massa a partir de contas comprometidas. Um desses painéis, deixado exposto, listava sistemas comprometidos de diversos bancos e fintechs sediadas no Brasil. O relatório não determina se os recursos foram efetivamente transferidos nem quantifica qualquer perda financeira.
“O Slim Spider mostra como adversários com motivação financeira estão desenvolvendo habilidades especializadas para ir atrás dos acessos mais próximos de ativos de alto valor. Não foi um ataque direto ao Pix ou ao Banco Central, mas aos ambientes que as instituições financeiras mantêm para sustentar suas operações. Como o grupo usou credenciais válidas e serviços legítimos, sua atividade pode parecer rotina de administração. Bancos e fintechs precisam de uma visão unificada de identidades, dispositivos, nuvem e ambientes de desenvolvimento para conectar esses sinais e interromper uma intrusão antes que cause impacto financeiro”, afirmou Jeferson Propheta, vice-presidente da CrowdStrike para a América do Sul.
Como as instituições financeiras podem se proteger
A CrowdStrike recomenda que as instituições financeiras:
- Concedam a cada usuário e sistema apenas o acesso de que precisam;
- Protejam e troquem regularmente senhas, chaves e outras credenciais;
- Revisem contas de serviço e permissões;
- Monitorem de perto quem acessa segredos armazenados e acompanhem mudanças nos ambientes de nuvem e de desenvolvimento;
- Conectem a atividade de identidade, dispositivos e nuvem por meio de threat hunting contínuo.
Com base em sua investigação e no acompanhamento contínuo do SLIM SPIDER, o time CrowdStrike OverWatch desenvolveu detecções focadas no comportamento do adversário. Elas já estão implantadas em toda a base de clientes da CrowdStrike para ajudar a identificar precocemente atividades criminosas semelhantes voltadas à nuvem.
