Um grupo de hackers brasileiro, batizado de SLIM SPIDER pela empresa CrowdStrike, invadiu sistemas de um banco no Brasil no fim de março e teria mirado o Pix. Os invasores chegaram a montar um painel para disparar transferências em massa.
A instituição atacada não foi nomeada no relatório. Segundo a CrowdStrike, os invasores extraíram pelo menos seis credenciais ligadas a ativos financeiros digitais e avançaram até o ambiente de desenvolvimento de software do banco.
De lá, encontraram em painéis de controle web uma lista de sistemas comprometidos de outros bancos e fintechs brasileiras.
Os criminosos instalaram uma ferramenta maliciosa batizada de "spi", nome que remete ao Sistema de Pagamentos Instantâneos, estrutura do Banco Central por trás do Pix. Com painéis automatizados, mapearam serviços vulneráveis, vasculharam caixas de e-mail comprometidas e prepararam transferências em massa.
O grupo desenvolveu técnicas para alcançar acessos próximos de ativos financeiros de alto valor.
A avaliação é de Jeferson Propheta, vice-presidente da CrowdStrike para a América do Sul. Segundo ele, os invasores miraram diretamente os ambientes de nuvem que sustentam a operação diária dos bancos, não só as contas de clientes isoladas.
O relatório não confirma se as transferências chegaram a ser executadas, nem estima eventual prejuízo. A CrowdStrike também identificou alta de 171% na atividade cibercriminosa voltada a ambientes de nuvem no mercado financeiro.
Não é a primeira vez que o Banco Central reage a falhas do tipo. Em julho, a autarquia já havia proposto restringir o acesso ao Pix de instituições com vulnerabilidades de segurança identificadas.
Publicidade
Outro caso recente mostra o mesmo tipo de risco: em outubro, um ciberataque expôs dados de CPF de clientes da Lupo, vazados desde 2020.
O ponto em aberto
O relatório da CrowdStrike não diz qual instituição foi atacada, nem se o Banco Central foi notificado. Também não há confirmação de que alguma transferência chegou a sair da fase de preparação.
Enquanto esses dados não vêm a público, não é possível dizer se o episódio deixou algum cliente no prejuízo.
