ブラジル金融機関を狙う「Slim Spider」のクラウド攻撃手口が判明、暗号資産カストディや即時決済Pixを標的に

要点

• セキュリティ企業CrowdStrikeが、ブラジルの金融機関を標的とするサイバー犯罪グループ「Slim Spider」の攻撃手法を公開した。

• 攻撃者はクラウド環境へ侵入後、インスタンスメタデータなどから暗号資産カストディ（保管・管理）の秘密鍵やウォレット情報を窃取していた。

• 検知を避けるためサードパーティ製ライブラリを使わず、Bashスクリプト内でOpenSSLを用いて署名を行うなど高度な運用を行っていた。

• Azure DevOpsパイプラインを悪用してKubernetes環境へ不正プログラムを配布し、ブラジルの即時決済システム「Pix」のインフラに偽装していた。

• Ollamaを活用したAPIスキャナーや偵察ツール、Pixの不正一括送金パネルなど、攻撃を自動化する複数の独自ツールを運用していた。

• サイバーセキュリティ企業の米CrowdStrikeは、ブラジルの金融機関やフィンテック組織を標的とする金銭目的の脅威グループ「Slim Spider」の活動内容を明らかにした。2026年3月以降に確認された侵入事例では、標的組織のクラウド環境へ深く入り込み、暗号資産（仮想通貨）の資産情報や即時決済アカウントが集中的に狙われていたという。同社は、攻撃者がブラジルの金融インフラやクラウド環境の構造を熟知した上で攻撃を組み立てていると分析している。

クラウドメタデータからの認証情報窃取と暗号資産カストディの特定

CrowdStrikeによると、Slim Spiderは2026年3月下旬、ブラジル国内の金融機関に対して多段階の侵入攻撃を実行した。攻撃者はまず、ソケット通信を通じてクラウドのインスタンスメタデータ（仮想マシン自身の設定や一時的な認証情報を提供する仕組み）を照会し、一時的なアクセス権限を窃取する独自のBashスクリプトを作成・実行していた。

クラウド環境への足がかりを得た攻撃者は、クラウドの認証情報マネージャーに保存されているシークレットを網羅的に列挙した。さらにLinuxのテキスト処理コマンドである「sed」を用いて秘密情報を抽出するスクリプトを複製・改変し、デジタル金融資産に関連する認証情報を重点的に収集していたという。

暗号資産のカストディに関わる秘密情報を外部へ流出させた後、攻撃者はEthereum開発ツールキット「Foundry」に含まれるツール「cast」を呼び出し、窃取した秘密鍵に対応するEthereumウォレットアドレスを特定した。

この一連の工程において、攻撃者は検知リスクを最小限に抑えるため、一般的なサードパーティ製ライブラリをあえて使用せず、Bashスクリプト内から直接OpenSSLを呼び出してクラウドネイティブな暗号署名処理を実装していた。CrowdStrikeはこの手法について、高度なOPSEC（運用セキュリティ）意識とクラウド環境への深い理解を示すものだと指摘している。

DevOpsパイプラインの悪用と決済インフラへの偽装

クラウドコンテナクラスタのノードへのアクセスを確保したSlim Spiderは、正規のインフラ関連バイナリに偽装したバックドアを配置し、セキュリティ製品の監視をすり抜けようとしていた。

続いて攻撃者は、窃取した認証情報を利用してCI/CD環境の「Azure DevOps」へ不正アクセスを行った。悪意のあるパイプラインを実行することで、マネージドKubernetes（コンテナ管理プラットフォーム）クラスタ全体に向けて追加の不正プログラム（インプラント）を配布した。

この際に展開されたインプラントの1つには「spi」という名称が付けられていた。これは、ブラジル中央銀行の即時決済システム「Pix」の処理を担う中核デジタルインフラ「Sistema de Pagamentos Instantâneos（SPI）」に偽装したものだという。

攻撃を自動化する独自Webパネルとバックドア「MikeDor」

Slim Spiderは攻撃の各段階を自動化・効率化するため、複数のWebベースの管理パネルを構築・運用していたことが確認されている。

• NEXUS // Scanner: APIエンドポイントのスキャンパネル。ローカルLLM実行ツール「Ollama」を利用して、検出したエンドポイントをフィンテック、銀行、決済、暗号資産など16のカテゴリに自動分類し、稼働状況や認証仕様に応じて優先度を判定する。
• Painel de Emails Entra ID: メール偵察用のパネル。侵害されたMicrosoft 365のメールボックス内を検索し、「財務（finance）」「管理者（admin）」「ブラジル（Brazil）」などのカテゴリに仕分けて情報を収集する。
• Painel Pix: 不正送金用のトランザクションパネル。侵害したアカウントから大量のPix不正送金を一括して実行する機能を備える。

CrowdStrikeが発見したSlim SpiderのC2（指令・制御）パネル上には、ブラジルの複数の銀行やフィンテック企業から侵害されたホストが一覧表示されており、外部流出用とみられるアーカイブファイルも確認されたという。

また、同グループの主要な攻撃ツールとして、Go言語で開発されたバックドア「MikeDor」の存在も挙げられている。MikeDorは標的端末から機密情報を収集したり、ユーザーの操作内容を監視したりする機能を備えている。

金融インフラを狙うサイバー犯罪の動向

CrowdStrikeは、金銭目的の攻撃者がクラウド環境の攻撃対象領域（アタックサーフェス）を深く理解し、暗号資産のウォレット管理情報など高価値な資産に直結するインフラを集中的に狙う傾向を強めていると警鐘を鳴らしている。

なお、ブラジルの金融システムを標的とする動きはSlim Spiderに限らない。Google Threat Intelligence Group（GTIG）やMandiantの報告によると、ポルトガル語圏のサイバー犯罪グループ「Breeze Comet」（別名: CL-CRI-1163、Plump Spider、SHADOW-AETHER-064）も2024年から活動を継続しており、決済処理システムへ侵入して不正取引を実行する攻撃を行っていることが明らかになっている。