Durante anos, uma parcela importante do cibercrime financeiro brasileiro seguiu uma lógica relativamente conhecida.
Malware bancário.
Phishing.
Páginas falsas.
Roubo de credenciais.
Engenharia social.
Golpes contra clientes.
Agora, pesquisadores estão acompanhando um movimento potencialmente muito mais perigoso: atacar diretamente os sistemas internos das instituições que movimentam dinheiro.
A CrowdStrike revelou detalhes de um grupo financeiramente motivado que rastreia como:
SLIM SPIDER.
Segundo a empresa de cibersegurança, o cluster atua contra instituições financeiras brasileiras desde pelo menos março de 2026 e demonstra conhecimento operacional profundo sobre:
Pix;
plataformas de ativos digitais;
infraestrutura financeira;
ambientes de nuvem.
Em uma intrusão analisada no final de março, os criminosos chegaram a segredos relacionados à custódia de criptomoedas e buscaram acesso a recursos associados a pagamentos instantâneos.
Mas existe uma correção importante na publicação compartilhada.
O alvo não eram simplesmente “contas Pix de clientes”
A frase pode dar a impressão de que o Slim Spider está invadindo aplicativos bancários de usuários comuns.
O cenário documentado é diferente — e potencialmente mais grave.
O grupo procura comprometer:
a infraestrutura das próprias instituições financeiras.
A CrowdStrike observou ferramentas voltadas a segredos de custódia de ativos digitais e também identificou um “Painel Pix”, desenvolvido para realizar transferências Pix não autorizadas em massa a partir de contas comprometidas.
Portanto, estamos falando de cibercrime direcionado ao backend financeiro, e não simplesmente de mais uma campanha de phishing contra correntistas.
CrowdStrike classifica o objetivo como financeiro
O Slim Spider é tratado como um:
eCrime adversary.
Sua motivação identificada é:
ganho financeiro.
Não existem, nas informações públicas disponíveis, elementos suficientes para caracterizar a campanha como espionagem estatal ou sabotagem geopolítica.
O objetivo observado é chegar ao dinheiro.
E os atacantes parecem conhecer muito bem onde procurá-lo.
Uma instituição brasileira foi comprometida em março
A CrowdStrike descreveu uma intrusão em múltiplas etapas contra uma instituição financeira localizada no Brasil no final de março de 2026.
O nome da organização não foi divulgado publicamente.
Isso significa que não é possível afirmar responsavelmente qual banco, fintech ou instituição foi atingida.
Também não existe, até o momento, uma lista pública consolidada de todas as vítimas.
O ataque começou pela nuvem
Um dos aspectos mais relevantes da operação é o foco em:
cloud infrastructure.
Os criminosos utilizaram scripts personalizados em Bash para consultar serviços de metadados de instâncias em nuvem e obter:
credenciais temporárias.
Esse tipo de credencial pode fornecer acesso a recursos da infraestrutura sem exigir que o atacante descubra uma senha tradicional armazenada em algum arquivo.
Por que metadados de instância são tão importantes?
Grandes plataformas de nuvem permitem que máquinas virtuais e workloads obtenham informações sobre si mesmas.
Isso pode incluir credenciais temporárias associadas a identidades utilizadas pela aplicação.
Em uma arquitetura bem protegida, essas credenciais possuem:
escopo limitado;
prazo de validade;
permissões controladas.
Mas se um invasor comprometer uma workload com privilégios excessivos, essas credenciais podem virar um caminho para outros serviços.
É exatamente por isso que:
identidade passou a ser um dos principais perímetros da segurança em nuvem.
Slim Spider utilizou conexões por socket
Os scripts observados pela CrowdStrike acessavam credenciais temporárias através de conexões de socket.
Isso mostra uma preocupação com:
discrição operacional.
Em vez de depender exclusivamente de ferramentas mais óbvias ou adicionar grande quantidade de software ao ambiente, criminosos podem utilizar recursos disponíveis no próprio sistema.
Esse comportamento dificulta modelos de segurança baseados apenas em:
“este executável é conhecido ou malicioso?”
Hoje é necessário avaliar:
o que um processo legítimo está fazendo naquele contexto.
Depois das credenciais, vieram os segredos
Uma vez dentro do ambiente, o grupo enumerou os segredos disponíveis no gerenciador de credenciais da nuvem.
É aí que a operação começa a ficar particularmente preocupante.
Os criminosos não pareciam interessados apenas em:
documentos;
e-mails;
arquivos corporativos.
Eles procuravam credenciais relacionadas a:
ativos financeiros digitais.
O objetivo era chegar às chaves de custódia
Instituições que oferecem serviços relacionados a criptomoedas podem possuir infraestrutura para controlar ativos digitais de seus clientes.
Nesse mundo, uma chave privada possui uma característica extremamente importante:
quem controla a chave pode controlar os ativos associados a ela.
Por isso, chaves de custódia são alguns dos segredos mais valiosos existentes dentro de uma infraestrutura financeira.
Uma chave privada não é apenas uma senha
Em sistemas tradicionais, uma senha comprometida pode ser redefinida.
Em blockchain, a situação é diferente.
Se um invasor consegue utilizar uma chave privada para autorizar uma transação e os ativos são transferidos, a natureza do blockchain pode tornar a recuperação extremamente difícil.
A transação não possui um botão convencional de:
“desfazer”.
Isso transforma infraestrutura de custódia em alvo de altíssimo valor.
Os criminosos utilizaram ferramentas legítimas do Ethereum
A CrowdStrike observou o Slim Spider utilizando:
cast
uma ferramenta pertencente ao ecossistema Foundry utilizado no desenvolvimento Ethereum.
Com ela, os atacantes conseguiram derivar o endereço público Ethereum correspondente a uma chave privada obtida durante a invasão.
Esse detalhe é revelador.
Não estamos falando apenas de criminosos procurando arquivos com nomes como:
wallet.txt
Eles demonstravam conhecimento suficiente para:
identificar material criptográfico;
interpretá-lo;
validá-lo;
relacioná-lo a carteiras.
OpenSSL também entrou no arsenal
Os operadores ainda utilizaram operações criptográficas diretamente através do:
OpenSSL.
Novamente, estamos falando de uma ferramenta legítima e amplamente utilizada.
Essa estratégia possui uma vantagem para o atacante.
Quanto menos ferramentas maliciosas exclusivas ele precisar instalar, menor pode ser sua superfície de detecção.
É o conhecido princípio de:
living off the land.
Usar recursos já existentes no ambiente contra o próprio ambiente.
O ataque chegou ao Azure DevOps
A operação não ficou limitada à camada inicial de cloud.
Segundo a investigação, o Slim Spider conseguiu avançar para:
Azure DevOps.
Provavelmente utilizando credenciais comprometidas, os atacantes executaram pipelines maliciosos.
Isso é especialmente perigoso porque pipelines existem justamente para:
automatizar;
compilar;
implantar;
modificar
software e infraestrutura.
DevOps virou superfície crítica de ataque
Durante anos, segurança corporativa concentrou enorme atenção em:
servidores;
notebooks;
firewalls;
Active Directory.
Agora existe outro ativo extremamente poderoso:
pipelines de desenvolvimento.
Quem controla um pipeline pode, dependendo das permissões:
executar código;
acessar segredos;
modificar aplicações;
implantar workloads;
alterar infraestrutura.
É por isso que DevSecOps deixou de ser apenas uma expressão de marketing.
Pipelines podem ser caminhos privilegiados para ambientes críticos.
Slim Spider usou pipelines para chegar ao Kubernetes
Os atacantes utilizaram pipelines maliciosos para distribuir implantes dentro de um:
cluster Kubernetes gerenciado.
Kubernetes é amplamente utilizado para executar aplicações modernas em containers.
Instituições financeiras utilizam esse tipo de infraestrutura para serviços digitais altamente escaláveis.
Uma vez dentro do cluster, o grupo procurou estabelecer presença de maneira discreta.
Um dos implantes foi chamado de “spi”
Esse é um dos detalhes mais interessantes da investigação.
Um implante recebeu o nome:
spi.
SPI é a sigla de:
Sistema de Pagamentos Instantâneos.
É a infraestrutura central responsável pela liquidação das transações Pix entre participantes.
A escolha do nome parece ter sido uma tentativa de fazer o arquivo parecer relacionado à infraestrutura legítima.
Em um ambiente financeiro brasileiro, um componente chamado “spi” pode chamar menos atenção do que um executável com nome obviamente suspeito.
Mas isso não significa que o SPI do Banco Central foi invadido
Essa distinção é fundamental.
A existência de um malware chamado “spi” dentro de uma instituição financeira:
não significa comprometimento do Sistema de Pagamentos Instantâneos operado pelo Banco Central.
A campanha descrita envolve ambientes das instituições financeiras atacadas.
Não existe evidência pública de que a infraestrutura central do Pix no Banco Central tenha sido comprometida pelo Slim Spider.
O Pix aparece como alvo financeiro
O grupo também possui uma ferramenta que chama atenção:
Painel Pix.
Segundo a análise divulgada, esse painel foi desenvolvido para executar:
transferências Pix não autorizadas em massa a partir de contas comprometidas.
Isso mostra um nível de especialização importante no ecossistema financeiro brasileiro.
Os criminosos não estão apenas adaptando ferramentas estrangeiras genéricas.
Estão desenvolvendo recursos voltados especificamente ao funcionamento local.
A escala pode ser muito maior do que uma única instituição
Durante a investigação, a CrowdStrike encontrou um painel de comando e controle exposto.
Nele apareciam hosts comprometidos associados a:
diversos bancos e fintechs brasileiros.
Também havia indícios de arquivos compactados possivelmente exfiltrados.
Isso sugere uma operação mais ampla.
Mas existe uma ressalva essencial:
a quantidade total de organizações efetivamente comprometidas não foi divulgada publicamente.
Portanto, não é possível afirmar que dezenas ou centenas de bancos foram invadidos.
Ainda não existe valor público consolidado das perdas
Também não há, nas informações públicas disponíveis, um número confiável para responder:
quanto o Slim Spider roubou?
Não devemos confundir:
capacidade de executar transferências
com:
transferências comprovadamente executadas em determinado valor.
Nem:
chaves acessadas
com:
criptomoedas necessariamente roubadas.
A investigação demonstra intenção e capacidade técnica preocupantes, mas o impacto financeiro total conhecido publicamente continua limitado.
O grupo desenvolveu ainda uma ferramenta chamada MikeDor
A CrowdStrike identifica o:
MikeDor
como uma das principais ferramentas associadas ao Slim Spider.
Trata-se de malware desenvolvido em:
Go
e compilado para diferentes plataformas.
Essa escolha oferece vantagens aos atacantes.
Go facilita a criação de binários para diferentes sistemas operacionais e arquiteturas, permitindo que a mesma base de código seja adaptada a múltiplos ambientes.
O objetivo é coletar informações valiosas
Ferramentas desse tipo podem ser utilizadas para reconhecimento, coleta e movimentação dentro do ambiente comprometido.
Em uma instituição financeira, isso significa procurar:
credenciais;
segredos;
configurações;
infraestrutura;
sistemas de pagamento;
ativos digitais.
Quanto mais o atacante conhece o ambiente, mais precisamente consegue chegar aos sistemas que realmente movimentam dinheiro.
O Slim Spider também construiu painéis para automatizar ataques
A investigação revelou uma característica que mostra a industrialização da operação.
O grupo não depende apenas de hackers digitando comandos manualmente.
Ele criou:
painéis web.
Essas interfaces automatizam diferentes partes da campanha.
Um deles é chamado:
NEXUS // Scanner.
NEXUS classifica potenciais alvos
O painel analisa endpoints e os organiza em diferentes categorias.
Entre elas:
fintech;
banking;
payment;
cryptocurrency.
O sistema também pode priorizar endpoints com base em fatores como:
disponibilidade;
mecanismos de autenticação.
Em outras palavras, o criminoso pode alimentar uma grande quantidade de sistemas e receber uma lista indicando:
quais parecem mais interessantes para atacar.
E existe IA dentro dessa ferramenta
Aqui aparece outro detalhe particularmente atual.
O NEXUS utiliza:
Ollama.
Ollama é uma plataforma amplamente utilizada para executar modelos de linguagem localmente.
Segundo a descrição da CrowdStrike, ela é utilizada para ajudar a classificar os endpoints em categorias.
Isso significa que:
inteligência artificial já aparece dentro da infraestrutura operacional de um grupo de cibercrime financeiro direcionado ao Brasil.
Mas cuidado: a IA não está “hackeando bancos sozinha”
Seria fácil transformar isso em uma manchete exagerada:
“Hackers usam IA para atacar o Pix.”
Essa frase simplifica demais.
A evidência pública indica uso de IA para:
classificação e triagem de endpoints.
Não há demonstração de que um agente de IA esteja conduzindo autonomamente toda a cadeia de ataque.
Mesmo assim, a utilização é importante.
IA pode tornar o cibercrime mais escalável
Imagine um criminoso encontrando:
100 mil endpoints.
Um analista humano precisaria examinar cada um.
É lento.
Agora imagine um modelo local classificando automaticamente:
banco;
fintech;
e-commerce;
governo;
cripto;
irrelevante.
Os operadores podem concentrar atenção apenas nos alvos com maior potencial financeiro.
A IA não precisa inventar um exploit revolucionário para ser útil.
Ela simplesmente precisa:
economizar tempo.
Existe também um painel para Microsoft 365
Outra ferramenta identificada é chamada:
Painel de Emails Entra ID.
Ela permite realizar reconhecimento em caixas de correio Microsoft 365 comprometidas.
As informações podem ser classificadas em categorias como:
finance;
admin;
Brazil.
Isso mostra como identidades corporativas e e-mails também entram no processo de reconhecimento.
E-mail corporativo pode revelar muito mais do que mensagens
Uma conta Microsoft 365 comprometida pode fornecer pistas sobre:
quem aprova pagamentos;
quem administra infraestrutura;
quais fornecedores existem;
quais projetos estão em andamento;
quais sistemas são utilizados;
como os processos internos funcionam.
Em ataques direcionados, contexto é extremamente valioso.
O criminoso pode utilizar essas informações para tornar a próxima etapa muito mais convincente.
O caso revela uma mudança no cibercrime latino-americano
Historicamente, a América Latina ficou conhecida por um enorme ecossistema de:
trojans bancários;
malware Android;
phishing;
roubo de credenciais;
fraudes contra consumidores.
O modelo é baseado em:
volume.
Atacar milhares ou milhões de pessoas e obter pequenas quantias de uma parcela delas.
O Slim Spider representa outra lógica:
atacar diretamente a instituição.
Um único acesso pode valer muito mais
Imagine duas estratégias.
Primeira:
enviar phishing para 100 mil clientes de um banco.
Segunda:
comprometer uma credencial capaz de acessar infraestrutura que processa transações.
A segunda pode ser muito mais difícil.
Mas o retorno potencial também pode ser muito maior.
É a diferença entre atacar:
quem usa o sistema
e
quem controla o sistema.
E o Slim Spider não está sozinho
A investigação ganha ainda mais importância quando comparada a outro grupo atuando no ecossistema financeiro brasileiro.
O ator rastreado como:
Breeze Comet
também conhecido em determinados contextos como Plump Spider, tem sido relacionado a ataques contra sistemas financeiros brasileiros.
Pesquisadores do Google Threat Intelligence Group e da Mandiant também documentaram operações desse ecossistema.
Breeze Comet mira Pix, Boleto e STR
Nesse outro conjunto de ataques, os criminosos buscam acesso a aplicações utilizadas pelas organizações para realizar:
Pix;
Boleto;
STR — Sistema de Transferência de Reservas.
O objetivo final é utilizar os próprios sistemas financeiros comprometidos para executar transações fraudulentas.
São grupos diferentes
É importante não misturar as duas operações.
Slim Spider e Breeze Comet possuem sobreposição de interesse em infraestrutura financeira brasileira.
Mas isso não significa que sejam:
o mesmo grupo;
parceiros;
ou parte de uma única organização.
Não existe evidência pública suficiente para afirmar isso.
O que existe é uma:
convergência de objetivos.
O Pix tornou-se atraente porque virou infraestrutura essencial
O Pix mudou profundamente a economia brasileira.
Transações são:
instantâneas;
disponíveis 24 horas;
integradas a praticamente todo o sistema financeiro.
Essa escala naturalmente chama atenção de criminosos.
Mas existe uma diferença importante.
O problema não é uma “falha do Pix”.
É o ecossistema de instituições e sistemas conectados a ele que pode ser atacado.
Não existe evidência de quebra criptográfica do Pix
Nada no relatório indica que o Slim Spider:
quebrou a criptografia do Pix;
invadiu o Banco Central;
descobriu uma falha universal no protocolo;
consegue retirar dinheiro de qualquer conta.
Os ataques dependem de:
comprometer sistemas e credenciais das organizações.
Isso é completamente diferente.
O elo mais fraco pode estar na nuvem
A transformação digital levou instituições financeiras para:
AWS;
Azure;
Google Cloud;
Kubernetes;
DevOps;
SaaS;
APIs.
Isso oferece enormes benefícios.
Mas também cria uma infraestrutura muito mais complexa.
Uma instituição pode proteger perfeitamente seu core bancário e ainda possuir uma credencial excessivamente privilegiada em outro componente.
O atacante procura justamente:
o caminho mais fácil até o ativo mais valioso.
Segurança de identidade torna-se crítica
No mundo cloud-native, a pergunta não é apenas:
“quem possui a senha?”
Também é:
Qual workload possui essa identidade?
Quais tokens ela pode gerar?
Quais segredos consegue ler?
Quais APIs pode chamar?
Qual pipeline pode executar?
Qual cluster pode modificar?
Um erro de IAM pode ser tão perigoso quanto uma vulnerabilidade crítica.
Segredos precisam ser tratados como ativos financeiros
Uma chave privada de criptomoeda não deveria ser protegida como uma senha comum.
Dependendo do ambiente, ela pode representar:
dinheiro diretamente movimentável.
Isso exige controles como:
HSM;
assinatura distribuída;
MPC;
segregação de funções;
limites transacionais;
aprovação múltipla;
monitoramento contínuo.
O objetivo é impedir que uma única credencial comprometida entregue controle completo sobre os ativos.
DevOps também precisa de segregação de funções
Um pipeline não deveria conseguir fazer tudo simplesmente porque é conveniente.
Privilégios precisam ser:
mínimos;
temporários;
auditáveis;
segmentados.
Uma conta capaz de modificar código não deveria automaticamente possuir acesso irrestrito a:
segredos de produção;
carteiras;
sistemas financeiros.
Esse princípio reduz o impacto caso uma identidade seja comprometida.
Kubernetes precisa ser tratado como infraestrutura crítica
O mesmo vale para clusters.
Ambientes Kubernetes que executam serviços financeiros não podem ser tratados apenas como infraestrutura operacional.
Precisam de:
segmentação;
controle de identidade;
gestão de segredos;
monitoramento de runtime;
políticas de rede;
auditoria.
Uma aplicação em container continua sendo uma aplicação crítica.
A investigação também reforça a importância do contexto
Uma das características do Slim Spider é justamente seu conhecimento do ambiente brasileiro.
SPI.
Pix.
Bancos.
Fintechs.
Ativos digitais.
Ferramentas em português.
Isso torna determinados sinais muito mais difíceis de detectar utilizando regras genéricas criadas para ameaças globais.
Um arquivo chamado:
spi
pode parecer perfeitamente plausível dentro de uma instituição brasileira.
Threat intelligence regional torna-se estratégica
Defesas construídas exclusivamente com base em ameaças americanas ou europeias podem perder particularidades locais.
Brasil possui:
Pix;
Boleto;
STR;
Open Finance;
infraestrutura própria;
ecossistema bancário extremamente digitalizado.
Atacantes brasileiros conhecem essas características.
Defensores também precisam conhecê-las profundamente.
O caso ainda possui muitas perguntas sem resposta
Não sabemos publicamente:
quantas instituições foram efetivamente comprometidas;
quanto dinheiro foi roubado;
quantos ativos digitais foram movimentados;
qual foi o vetor inicial de todas as invasões;
quantos operadores fazem parte do grupo;
qual sua estrutura organizacional.
A própria classificação geográfica deve ser tratada como atribuição da inteligência da CrowdStrike, e não como identidade civil comprovada dos criminosos.
Mas já existe informação suficiente para um alerta
O que sabemos é preocupante.
O Slim Spider atua desde pelo menos:
março de 2026.
Seu objetivo é:
ganho financeiro.
Seus alvos incluem:
instituições financeiras brasileiras.
Possui conhecimento sobre:
Pix e ativos digitais.
Foi observado roubando:
credenciais e segredos de custódia.
Utilizou:
Azure DevOps e Kubernetes.
Possui:
ferramentas e painéis personalizados.
E já incorporou:
IA local para ajudar na classificação de potenciais alvos.
O ataque ao banco está mudando de lugar
Talvez esse seja o ponto mais importante.
Durante muito tempo, a principal recomendação para combater fraude bancária foi:
“não clique em links.”
Continua sendo importante para consumidores.
Mas não resolve esse tipo de ameaça.
O Slim Spider não depende necessariamente de convencer o correntista.
Ele tenta chegar:
atrás do aplicativo.
Na nuvem.
Nos pipelines.
Nos clusters.
Nas identidades.
Nos segredos.
Nas chaves.
Nos sistemas que efetivamente conseguem movimentar recursos.
O prêmio agora é a infraestrutura
A transformação digital tornou o sistema financeiro brasileiro um dos mais avançados do mundo.
Pix é um exemplo disso.
Mas quanto mais dinheiro circula por sistemas digitais, maior o incentivo econômico para criminosos atacarem justamente essa infraestrutura.
O Slim Spider é mais um sinal de que o cibercrime financeiro está evoluindo.
De:
roubar a senha do cliente
para:
roubar a identidade da infraestrutura.
De:
invadir uma conta
para:
comprometer sistemas capazes de operar milhares delas.
De:
enganar uma pessoa
para:
automatizar ataques contra instituições inteiras.
O Pix não foi quebrado.
O Banco Central não foi comprometido.
Mas criminosos estão procurando os sistemas que ficam ao redor dessa infraestrutura — e estão demonstrando conhecimento técnico suficiente para transformar cloud, DevOps, Kubernetes e até inteligência artificial em ferramentas de uma nova geração de fraude financeira.
Para bancos, fintechs, instituições de pagamento e empresas de ativos digitais, o recado é claro:
o próximo grande golpe pode não começar no celular do cliente. Pode começar dentro da nuvem da própria instituição.
