メキシコの金融セクターで、20行を超える銀行を標的とするフィッシング・アズ・ア・サービス(PhaaS)プラットフォーム「Balonx Sistema」による脅威が拡大しています。
Group-IBの研究者によると、この攻撃活動はリアルタイムフィッシングと多要素認証(MFA)の傍受、Androidリモートアクセス型トロイの木馬(RAT)、そしてAIを活用した音声詐欺を組み合わせているとのことです。
このキャンペーンは、少なくとも2025年10月以降、1,100人を超える被害者から認証情報や金融情報を窃取したとみられています。
Balonxはサブスクリプション型サービスとして設計されており、技術力の低いアフィリエイトでも一元化されたWebパネルを通じて銀行詐欺キャンペーンを実行できるようになっています。
このプラットフォームはメキシコを拠点に運営されているとみられ、データ売買やテレマーケティング詐欺に関連するFacebookグループを通じて宣伝されていました。
研究者たちは、公開状態にあったGitHubリポジトリからインフラの一部、アフィリエイト管理システム、ドメイン、フィッシングのワークフローが明らかになったことで、その運用実態をより深く把握できたとしています。
ユーザー名とパスワードのみを収集する基本的なフィッシングキットとは異なり、Balonxは永続的なWebSocket接続を利用し、被害者のフィッシングページと攻撃者の管理パネルとの間でリアルタイムの通信を維持します。
これにより、詐欺師は被害者の行動を監視しながら、フィッシングページをリアルタイムで書き換えることができます。運営者はログイン情報、カードデータ、ATMの暗証番号、SMSワンタイムパスワード、取引承認コード、身分証明書、自撮り写真などを要求する専用の画面を送り込むことが可能です。
このリアルタイムの手法により、攻撃者はMFA保護を回避できます。例えば、被害者が銀行の認証情報を入力すると、運営者はそれを使って実際の銀行サービスへのログインを試みます。
銀行側からOTP(ワンタイムパスワード)による認証要求が送られてくると、攻撃者は即座に本物そっくりの確認画面を表示し、被害者に同じコードの入力を求めます。
Balonxはブラウザベースのフィッシングにとどまらず、銀行保護ソフトウェアを装った悪質なAndroidアプリケーションの配布にも手を広げています。研究者は、このアプリケーションを商用のSpyroid RATフレームワークと関連付けています。
このマルウェアは偽のセキュリティ警告を通じて表示され、被害者にAPKのインストールを促す仕組みになっています。
インストールされると、このRATは攻撃者にデバイスへの永続的なアクセスを与え、SMSメッセージやキー入力、画面の内容、ファイル、銀行アプリの操作履歴などを窃取できるようにします。この機能により、犯罪者は被害者がフィッシングサイトを離れた後でも認証コードを取得できる可能性があります。
研究者はまた、「CallFlow」と呼ばれる別のAIビッシングプラットフォームも特定しました。このモジュールは、大規模言語モデル、合成音声、音声認識、FreePBXベースの通話インフラを組み合わせることで、詐欺電話を自動化します。
CallFlowは、AIが生成した銀行担当者の声を使って、標的とリアルタイムで会話するとされています。
被害者の応答は文字起こしされてLLMによって処理され、自動的に返答が生成されます。これにより大規模なオペレーターチームを人手で用意する必要がなくなり、運営者は多数の詐欺を同時並行で実行できるようになる可能性があります。
Balonxはまた、テイクダウンを免れるためにドメインを頻繁にローテーションさせています。Group-IBは、BalonxおよびAclaraciones Bancarias(銀行に関する釈明)キャンペーンに関連するドメインを350以上特定しました。
一元化されたバックエンドにより、このグループは新しいドメインに移行しながらも、アフィリエイトアカウントや被害者データ、有効なセッションを維持し続けることができます。
ANY.RUNのブラウザ内データ検査で、検知・調査・対応をより迅速に-> ANY.RUNでSOCを強化する
翻訳元: https://cyberpress.org/balonx-targets-mexican-banks/
