Grupo brasileiro invade sistema bancário em operação ligada ao Pix

Um grupo cibercriminoso brasileiro conhecido como SLIM SPIDER invadiu os sistemas de uma instituição financeira no final de março de 2026 para capturar credenciais e dados associados a ativos digitais. A operação foi detalhada em uma investigação divulgada pela empresa de segurança CrowdStrike, evidenciando novos riscos para a infraestrutura digital do setor financeiro nacional.

De acordo com o levantamento, os invasores optaram por não atacar diretamente o Pix ou o Banco Central, concentrando seus esforços na exploração de ambientes de nuvem utilizados por bancos e fintechs. A CrowdStrike registrou um aumento de 171% nas atividades de crimes digitais direcionados a esse tipo de infraestrutura em nuvem.

Para concretizar a invasão, os criminosos empregaram scripts personalizados com o objetivo de obter credenciais temporárias de acesso à nuvem da instituição financeira. Na sequência, buscaram informações sigilosas e conseguiram extrair pelo menos seis segredos cujos nomes indicavam relação com ativos financeiros digitais.

Com os acessos garantidos, o grupo avançou em direção ao ambiente de desenvolvimento de software da instituição, instalando ferramentas maliciosas. Entre os artefatos, um arquivo nomeado "spi" levantou suspeitas de ligação com o Sistema de Pagamentos Instantâneos do Banco Central, embora a relação direta não tenha sido confirmada oficialmente.

A investigação também apontou a existência de painéis de controle acessíveis pela web e utilizados para automatizar tarefas. Um desses painéis estava exposto publicamente, revelando uma listagem com sistemas comprometidos pertencentes a diferentes bancos e fintechs do Brasil, com funções voltadas ao mapeamento de serviços, busca de e-mails comprometidos e preparação de transferências Pix não autorizadas em massa.

Apesar da gravidade da brecha, o relatório da CrowdStrike não especifica se as transferências de valores chegaram a ser efetivadas, nem apresenta estimativas de prejuízos financeiros ou o número exato de instituições atingidas. O uso de acessos legítimos e arquivos disfarçados de componentes rotineiros dificultou a detecção precoce das ações maliciosas.

Jeferson Propheta, vice-presidente da CrowdStrike para a América do Sul, alertou que o grupo desenvolveu capacidades avançadas para se aproximar de ativos financeiros de alto valor. O executivo reforçou a necessidade de as empresas integrarem análises de identidades, dispositivos e ambientes de nuvem para identificar sinais antecipados de invasão.

O episódio ilustra um cenário mais amplo de vulnerabilidade no setor financeiro brasileiro, que concentra grande parte dos ciberataques na América Latina devido à rápida digitalização e ao volume de transações instantâneas. Especialistas apontam que quadrilhas locais ganharam destaque internacional pelo desenvolvimento de malwares e táticas avançadas, exigindo reforço contínuo na segurança e monitoramento das redes bancárias.