Techtudo
Um grupo cibercriminoso brasileiro desenvolveu uma ferramenta capaz de automatizar transferências Pix não autorizadas em massa a partir de contas comprometidas. Batizado de SLIM SPIDER, o grupo foi identificado pela empresa de cibersegurança CrowdStrike, que investigou uma invasão a uma instituição financeira no Brasil em março de 2026.
O TechTudo conversou com o vice-presidente de engenharia de vendas para a América Latina da CrowdStrike, Marcos Ferreira, que explica como os criminosos conhecem a infraestrutura bancária brasileira e utilizam credenciais legítimas para se movimentar entre sistemas comprometidos.
A descoberta faz parte do Relatório de Caça a Ameaças 2026 da CrowdStrike, que registrou um aumento global de 171% na atividade cibercriminosa direcionada a ambientes de nuvem entre julho de 2025 e junho de 2026. Durante a investigação, os pesquisadores também encontraram máquinas comprometidas de diferentes bancos e fintechs brasileiros em um painel utilizado pelo grupo.
A seguir, entenda como os criminosos atuam e quais riscos esse tipo de ataque representa para o setor financeiro. 🔎 Vírus pré-instalado em celulares Android é detectado no Brasil e outros países
📲 Comparador de celulares do TechTudo: como usar a ferramenta e economizar Ataque hacker a banco brasileiro expõe risco à infraestrutura do Pix; entenda
Mariana Saguias/TechTudo 📝 Pix e PicPay é a mesma coisa? Veja no fórum do TechTudo
Índice Quem é o SLIM SPIDER e como o grupo invade instituições financeiras?
Como funcionava o painel criado para realizar transferências Pix? Por que os ataques à infraestrutura de nuvem estão aumentando?
Ataques do SLIM SPIDER representam riscos para clientes de bancos? Quem é o SLIM SPIDER e como o grupo invade instituições financeiras?
O SLIM SPIDER é um grupo cibercriminoso brasileiro especializado em ataques contra instituições financeiras, com foco em criptoativos e sistemas de pagamentos instantâneos. Segundo a CrowdStrike, os criminosos conhecem a infraestrutura bancária nacional e desenvolvem ferramentas próprias para acessar sistemas sem chamar a atenção.
Entre os recursos utilizados estão scripts personalizados, arquivos maliciosos disfarçados de componentes legítimos e painéis de controle que empregam inteligência artificial (IA) para classificar possíveis alvos. Na invasão investigada em março de 2026, o grupo coletou credenciais temporárias por meio de um serviço de metadados da infraestrutura de nuvem da instituição.
Depois, acessou um cofre digital usado para armazenar informações sensíveis e roubou pelo menos seis segredos relacionados a ativos financeiros digitais, incluindo credenciais de custódia de criptoativos e uma chave privada de carteira digital. "Trata-se de um adversário que não arromba a porta.
Ele opera com identidades válidas, dentro do ambiente considerado confiável, onde as defesas tradicionais não enxergam", explica Ferreira. Com os acessos obtidos, os criminosos chegaram ao ambiente de desenvolvimento de software da instituição e utilizaram processos legítimos de distribuição de aplicações para instalar ferramentas maliciosas.
🔎Cliquei em um link malicioso no celular; o que fazer? Veja passo a passo Entenda quem é e com atua o grupo criminoso
Marcos Vinícius Pereira / TechTudo / imagem gerada pelo nano banana Como funcionava o painel criado para realizar transferências Pix?
A CrowdStrike identificou três painéis de controle utilizados pelo SLIM SPIDER para automatizar diferentes etapas dos ataques. Um deles permitia mapear serviços bancários e de pagamento que poderiam ser comprometidos.
Outro era usado para pesquisar informações em caixas de e-mail corporativas invadidas. O terceiro foi desenvolvido para realizar transferências Pix não autorizadas em massa a partir de contas comprometidas.
Segundo Marcos Ferreira, a ferramenta de pagamentos estava pronta para operar e aceitava todos os tipos de chave Pix. O painel foi projetado para automatizar transferências fraudulentas em grande escala, mas sua descoberta não comprova que os criminosos tenham conseguido movimentar dinheiro por meio dele.
Os pesquisadores também encontraram uma ferramenta maliciosa chamada "spi", possível referência ao Sistema de Pagamentos Instantâneos, infraestrutura administrada pelo Banco Central do Brasil que sustenta as operações do Pix. Os ataques, no entanto, tinham como alvo os sistemas das instituições financeiras, e não a infraestrutura central do Pix ou do BC.
🔎Pix Parcelado: 8 aplicativos para fazer o pagamento Entenda como funcionava o painel criado para realizar transferências Pix
Reprodução/Freepik Por que os ataques à infraestrutura de nuvem estão aumentando?
Os ambientes de nuvem utilizados por bancos e fintechs armazenam credenciais e outros recursos que podem permitir o acesso a ativos financeiros. Na invasão investigada pela CrowdStrike, o SLIM SPIDER conseguiu extrair informações ligadas à custódia de criptoativos e avançar para outros sistemas da instituição.
"O ritmo de adoção de nuvem não foi acompanhado pelo nível de investimentos em cibersegurança, e os grupos cibercriminosos notaram essa janela de oportunidade", afirma Ferreira. O Relatório de Caça a Ameaças 2026 da CrowdStrike registrou um crescimento global de 171% na atividade criminosa direcionada a ambientes de nuvem entre julho de 2025 e junho de 2026.
Segundo Ferreira, os invasores exploram esses serviços para roubar credenciais, acessar ativos financeiros digitais e utilizar recursos computacionais indevidamente, inclusive para mineração de criptomoedas. 🔎Aplicativos para tirar vírus do celular: 7 opções para testar agora
Especialista explica por que os ataques à infraestrutura de nuvem estão aumentando Reprodução/Getty Images
Ataques do SLIM SPIDER representam riscos para clientes de bancos? A invasão de sistemas internos de instituições financeiras pode abrir caminho para fraudes e transferências não autorizadas.
No caso do SLIM SPIDER, os pesquisadores identificaram o roubo de credenciais ligadas a ativos financeiros digitais e uma ferramenta preparada para realizar transferências Pix em massa. Essas descobertas, porém, não permitem determinar se dados pessoais ou contas bancárias de clientes foram comprometidos.
"O risco está nos bastidores, e não na experiência do usuário. Ele está na nuvem, nas identidades e nas rotinas de desenvolvimento e entrega de softwares das instituições", explica Ferreira.
Para evitar ataques semelhantes, a CrowdStrike recomenda que bancos e fintechs limitem as permissões de acesso, protejam credenciais e monitorem atividades suspeitas em ambientes de nuvem. A empresa também orienta a revisão de contas de serviço e o acompanhamento das alterações realizadas nos sistemas de desenvolvimento, principalmente quando envolvem informações sensíveis ou processos automatizados.
🔎Cuidado! 6 golpes mais comuns do que você imagina no TikTok Especialista explica se ataques do SLIM SPIDER representam riscos para clientes de bancos
Getty Images Com informações de CrowdStrike e especialista
Mais do TechTudo 🎥Veja também: 'Caí no golpe do Pix, e agora?' Veja o que fazer e como recuperar
'Caí no golpe do Pix, e agora?' Veja o que fazer e como recuperar
