A CrowdStrike, empresa americana de cibersegurança, atribuiu a um grupo brasileiro batizado de SLIM SPIDER o ataque a um banco do país ocorrido em março deste ano. Entre o material recolhido na investigação havia um painel pronto para disparar Pix em lote usando contas que os criminosos já controlavam, compatível com qualquer tipo de chave. A empresa não conseguiu confirmar se a ferramenta chegou a movimentar dinheiro, e o nome da instituição atacada não foi divulgado.
Como o grupo entrou
O SLIM SPIDER não precisou quebrar senha alguma. O grupo explorou o serviço de metadados da nuvem usada pelo banco para obter credenciais temporárias, chegou ao cofre digital onde a instituição guardava dados sensíveis e levou ao menos seis segredos ligados a ativos digitais, entre eles acessos de custódia de criptomoedas e a chave privada de uma carteira. Dali avançou até o ambiente de desenvolvimento e usou o próprio processo de distribuição de aplicativos do banco para instalar suas ferramentas. Marcos Ferreira, vice-presidente de engenharia de vendas da CrowdStrike para a América Latina, resume o perfil: o invasor circula com identidades válidas, numa área que as defesas convencionais tratam como segura.
Foram identificados três painéis. Além do usado para o Pix, um listava serviços bancários e de pagamento passíveis de invasão e outro servia para vasculhar caixas de e-mail corporativas já comprometidas. Parte dessas ferramentas usava inteligência artificial para ranquear alvos. Nos painéis apareciam máquinas de vários bancos e fintechs brasileiros, não só da vítima de março.
Os pesquisadores também acharam um arquivo malicioso chamado “spi”, nome que lembra o Sistema de Pagamentos Instantâneos, operado pelo Banco Central. A semelhança assusta, mas o alvo eram os sistemas internos das instituições. A estrutura central do Pix e o BC não foram atingidos.
Por que a nuvem virou alvo
O caso está no Relatório de Caça a Ameaças 2026 da CrowdStrike, que mediu alta de 171% nos ataques a ambientes de nuvem no mundo entre julho de 2025 e junho de 2026. Para Ferreira, bancos e empresas migraram para a nuvem mais depressa do que reforçaram a segurança, e os criminosos perceberam a brecha. Além de roubar credenciais e ativos digitais, esses grupos sequestram capacidade de processamento alheia para minerar criptomoedas.
E quem usa Pix?
As evidências não mostram se dados pessoais ou contas de clientes foram afetados. Ferreira coloca o risco nos bastidores: na nuvem, nas identidades de sistema e no fluxo de desenvolvimento de software dos bancos. Na prática, nenhum cuidado do correntista no aplicativo impediria esse tipo de invasão. A responsabilidade é da instituição, e o cliente continua precisando vigiar o extrato e desconfiar de transferências que não reconhece.
Como medidas para bancos e fintechs, a CrowdStrike lista reduzir permissões de acesso, proteger credenciais, monitorar atividade anormal na nuvem, revisar contas de serviço e acompanhar mudanças nos sistemas de desenvolvimento, sobretudo as que envolvem dados sensíveis ou processos automatizados.
