Grupo brasileiro ataca a nuvem de um banco para chegar ao Pix — e o alvo é a credencial

A CrowdStrike documentou um grupo criminoso brasileiro, batizado SLIM SPIDER, que invadiu o ambiente de nuvem de uma instituição financeira nacional no fim de março de 2026 mirando ativos digitais e contas de pagamento. Em vez de atacar o Pix ou o Banco Central de frente, os criminosos foram pelas credenciais: scripts sob medida consultaram o serviço de metadados das instâncias de nuvem para coletar credenciais temporárias; em seguida, enumeraram o cofre de segredos da instituição e extraíram ao menos seis credenciais cujos nomes apontavam para ativos financeiros digitais. A partir daí, chegaram a chaves de custódia de criptoativos, avançaram para o ambiente de desenvolvimento de software e instalaram ferramentas maliciosas em um cluster Kubernetes — uma delas batizada "spi", numa imitação do Sistema de Pagamentos Instantâneos. O caso foi repercutido pela imprensa brasileira esta semana.

Fonte: CrowdStrike — perfil do adversário Slim Spider · TI Inside · Olhar Digital

O detalhe mais desconfortável é o que a investigação encontrou do outro lado. A CrowdStrike localizou um painel de comando exposto na web exibindo hosts comprometidos de vários bancos e fintechs do país, além de ferramentas para mapear serviços de pagamento, vasculhar caixas de e-mail corporativas comprometidas e preparar transferências Pix não autorizadas em massa a partir de contas invadidas. A empresa não confirma transferências concluídas, não estima prejuízo e não informa quantas instituições foram atingidas. O que se sabe é o desenho do ataque: credenciais válidas, serviços legítimos e arquivos disfarçados de componentes rotineiros de infraestrutura — o que faz a intrusão parecer administração normal e difícil de enxergar. A mesma investigação registrou alta de 171% nas atividades de crime digital voltadas a ambientes de nuvem.

O padrão aqui não depende de falha exótica. Quem alcança o cofre de credenciais de um ambiente de nuvem passa a operar com as permissões da própria instituição — inclusive dentro do pipeline de desenvolvimento, que ainda costuma ser tratado como área de engenharia e não como superfície de ataque. É a classe de risco que reaparece nos incidentes financeiros recentes: não é o sistema de pagamento que cede, é o acesso que o sustenta. Para instituição regulada, o tema já não é discricionário: a Resolução BCB 538 exige teste com laudo formal desde março, e o Banco Central sinalizou que vai restringir o Pix de quem demonstra segurança fraca.

O que uma organização com operação financeira deveria testar e monitorar continuamente:

• Cofre de segredos e identidade de carga de trabalho. Quais credenciais um workload de nuvem consegue ler hoje — e alguma delas abriria caminho para dado de alto valor?
• Ciclo de vida de credencial. Credenciais temporárias, contas de serviço e segredos antigos são rotacionados, revogados e auditados por quem, com qual periodicidade?
• O pipeline como superfície. Quem pode disparar uma esteira de build ou deploy — e uma credencial roubada ali permitiria executar código em produção?
• Acesso privilegiado a ativos financeiros. Além do time de custódia, quem consegue alcançar chave ou conta que movimenta valor?
• Detecção por identidade, não por arquivo. O monitoramento correlaciona nuvem, identidade e desenvolvimento, ou depende de assinatura de malware que se disfarça de binário legítimo?

A pergunta que fica é simples: se amanhã uma credencial da sua operação for usada por alguém de fora, o ambiente mostraria o caminho — ou pareceria mais um dia normal de administração?