Um grupo de cibercriminosos brasileiros batizado de Slim Spider está mirando a estrutura de nuvem que bancos e fintechs usam para fazer o Pix funcionar. Quem revelou foi a CrowdStrike, empresa americana de cibersegurança, no seu Relatório de Caça a Ameaças 2026. O ponto principal: o ataque não foi contra o Pix nem contra o Banco Central, mas contra os sistemas que as instituições financeiras mantêm por trás dele.
Calma que a gente explica o que aconteceu e o que isso significa para quem usa Pix todo dia.
O que é o Slim Spider
Segundo a CrowdStrike, o Slim Spider é um grupo de crime digital com motivação financeira, sediado no Brasil, que conhece bem o sistema bancário do país e os ambientes de nuvem usados pelas instituições. O nome segue o padrão da empresa, que chama de “Spider” (aranha) os grupos focados em crimes financeiros.
O grupo já tinha aparecido em alertas internacionais de segurança em setembro, e agora os detalhes chegaram ao Brasil com a divulgação do relatório. A CrowdStrike também registrou um aumento de 171% nos ataques de crime digital voltados para ambientes de nuvem.
Como foi o ataque a uma instituição financeira
O caso analisado aconteceu no fim de março de 2026, contra uma instituição financeira brasileira que não teve o nome divulgado. De acordo com o relatório, os criminosos:
- conseguiram credenciais temporárias de acesso à nuvem da vítima, usando scripts feitos sob medida para deixar poucos rastros;
- roubaram pelo menos seis “segredos” (chaves e senhas de sistema) ligados a ativos digitais, como criptomoedas;
- avançaram até o ambiente de desenvolvimento de software da instituição, onde instalaram outras ferramentas maliciosas, uma delas chamada “spi”, provável referência ao Sistema de Pagamentos Instantâneos, a base do Pix.
O que mais chama atenção são os painéis web que o grupo montou para automatizar o golpe: um para mapear serviços bancários que poderiam virar alvo, outro para vasculhar caixas de e-mail invadidas e um terceiro feito para disparar transferências Pix em massa a partir de contas comprometidas. Um desses painéis ficou exposto e listava sistemas invadidos de vários bancos e fintechs do país.
O relatório não diz se algum dinheiro chegou a ser transferido nem calcula prejuízos.
Por que esse tipo de invasão é difícil de pegar
O truque do Slim Spider foi se esconder à vista de todos. Como usava credenciais válidas, serviços legítimos e arquivos maliciosos disfarçados de peças comuns da infraestrutura, a atividade parecia rotina de administração de sistemas.
Jeferson Propheta, vice-presidente da CrowdStrike para a América do Sul, resume que o alvo foram “os ambientes que as instituições financeiras mantêm para sustentar suas operações”. Por isso, a empresa recomenda que bancos e fintechs limitem o acesso de cada usuário ao mínimo necessário, troquem senhas e chaves com frequência, revisem permissões e monitorem quem acessa os segredos guardados na nuvem.
E o que você, cliente, pode fazer
Esse tipo de ataque mira as empresas, não o seu celular, então não existe uma configuração mágica para se blindar. Mas alguns cuidados ajudam a reduzir o estrago caso alguma conta seja comprometida:
- mantenha o limite do Pix, principalmente o noturno, no valor que você realmente usa;
- ative as notificações de transação no app do banco para perceber movimentações estranhas na hora;
- use senha forte e biometria no app e não reaproveite senhas;
- se notar um Pix que não fez, acione o banco e use o botão de contestação do Pix o quanto antes.
E aí, esse tipo de notícia muda o jeito como você usa o Pix? Conta pra gente nos comentários!
