Um grupo de cibercriminosos identificado como SLIM SPIDER invadiu sistemas de uma instituição financeira brasileira para obter credenciais e informações associadas a ativos digitais. A operação ocorreu no fim de março de 2026, segundo investigação divulgada pela CrowdStrike.Em vez de atacar diretamente o Pix ou o Banco Central, os invasores exploraram ambientes de nuvem usados por bancos e fintechs. O episódio integra um cenário de aumento dos ataques cibernéticos a esse tipo de infraestrutura: a empresa registrou alta de 171% nas atividades de crimes digitais direcionadas a ambientes de nuvem.Ataques não miraram o Banco Central diretamente, mas sim os sistemas em nuvem de bancos e fintechs. – Imagem: DC Studio/ShutterstockAcesso a credenciais e sistemas internosOs criminosos utilizaram scripts personalizados para obter credenciais temporárias de acesso à nuvem da instituição. Depois, procuraram informações sigilosas armazenadas no ambiente e extraíram pelo menos seis segredos cujos nomes indicavam ligação com ativos financeiros digitais.Com os acessos obtidos, avançaram para o ambiente de desenvolvimento de software da instituição e instalaram ferramentas maliciosas. Uma delas, chamada “spi”, pode fazer referência ao Sistema de Pagamentos Instantâneos do Banco Central, infraestrutura que sustenta o Pix. A relação entre o nome do arquivo e o sistema, porém, não foi confirmada.A investigação identificou ainda painéis de controle acessíveis pela web, usados para automatizar diferentes tarefas. Um deles estava exposto e apresentava uma lista de sistemas comprometidos de bancos e fintechs brasileiras.Entre as funções dos painéis estavam:Mapear serviços bancários e de pagamento que poderiam ser alvos.Pesquisar caixas de e-mail comprometidas.Preparar transferências Pix não autorizadas em massa a partir de contas invadidas.O relatório não informa se as transferências chegaram a ser realizadas nem estima eventuais prejuízos financeiros. Também não esclarece quantas instituições foram efetivamente afetadas pela operação.Invasores usaram scripts sob medida para coletar credenciais temporárias sem levantar suspeitas de TI. – Koupei Studio / ShutterstockUso de acessos legítimos dificulta a detecçãoSegundo a CrowdStrike, o SLIM SPIDER utilizou credenciais válidas, serviços legítimos e arquivos maliciosos disfarçados de componentes comuns da infraestrutura. Essa combinação pode dificultar a identificação de atividades criminosas, já que parte das ações se assemelha à administração rotineira de sistemas.Jeferson Propheta, vice-presidente da empresa para a América do Sul, afirmou que o grupo desenvolveu técnicas para alcançar acessos próximos de ativos financeiros de alto valor. Ele também destacou a necessidade de analisar conjuntamente informações sobre identidades, dispositivos, nuvem e ambientes de desenvolvimento para reconhecer sinais de invasão.A empresa recomenda que instituições financeiras limitem permissões de acesso, protejam e renovem credenciais, revisem contas de serviço e monitorem alterações nos ambientes de nuvem e desenvolvimento. Outra medida indicada é correlacionar registros de diferentes sistemas para identificar atividades suspeitas.O caso expõe uma possível vulnerabilidade na cadeia de segurança dos serviços financeiros digitais: mesmo sem atacar diretamente o sistema de pagamentos, criminosos podem tentar alcançar operações bancárias por meio dos ambientes que dão suporte a elas. Até o momento, não há confirmação de transferências concluídas ou perdas financeiras relacionadas à invasão.O post Grupo brasileiro invade sistema bancário em ataque ligado ao Pix apareceu primeiro em Olhar Digital.