Balonx PhaaS、AI通話とAndroid RATを駆使しながら銀行のOTPをリアルタイムで窃取

フィッシング・アズ・ア・サービス(PhaaS)「Balonx Sistema」がリアルタイムOTP窃取、Androidマルウェア、AI生成のビッシング通話を組み合わせたことで、メキシコの銀行業界はより組織化された詐欺の脅威に直面しています。

Antivirus& Malware

Balonxは従来型の認証情報収集キットではありません。アフィリエイトにアクセス権を貸し出すサブスクリプション型の犯罪サービスとして運営されており、テレマーケティング詐欺グループや未熟な運営者でも説得力のある銀行フィッシングキャンペーンを開始できるよう、参入のハードルを下げています。

報道によれば、運営者はTelegramベースの登録ワークフローを使用しており、「SuperAdmin」による承認、階層型のアクセスプラン、アフィリエイト管理機能、そして正規のSaaS製品でよく見られるような自動暗号資産決済検証機能を備えていたとされています。

このプラットフォームは、データ売買やテレマーケティング詐欺に関連するFacebookグループ内で宣伝されていました。一方で、公開状態になっていたGitHubリポジトリにより、研究者はそのインフラや被害者向けワークフロー、ドメインネットワークを垣間見ることができました。

この可視化によって、反復可能かつ大量の銀行口座乗っ取りを目的として設計された、一元管理型の詐欺エコシステムの存在が明らかになりました。

Balonxの中核機能は、フィッシングページと攻撃者パネルの間を結ぶ永続的なWebSocketチャネルです。被害者が静的なフォームを送信するのを待つのではなく、運営者はセッションを監視しながら、ページの流れをリアルタイムで変更できます。

被害者の銀行口座のユーザー名とパスワードを盗んだ後、アフィリエイトは正規の銀行ポータルに対して認証を試みることができます。

銀行がワンタイムパスワードによる認証を要求すると、フィッシングの運営者は即座に、SMSコード、購入承認用OTP、カードレス出金コード、あるいはATM暗証番号を要求する画面を、これと一致する形でプッシュ表示します。

被害者が有効期限内に正しいコードを入力してしまうことで、攻撃者は事実上、認証を完了させたり不正な取引を承認させたりすることが可能になります。

研究者らは、カード情報、CVV値、取引承認コード、身分証明書、自撮り写真、QRコードによるカード読み取りなどをカバーする、オンデマンド型のフィッシング画面を14種類確認しています。

また、このキットはアフィリエイトが個別の銀行向けにあらかじめ設定されたフローをスクリプト化できるようになっており、ログイン情報の窃取からOTP収集までの一連の流れを自動化しています。

この設計は、アドバーサリー・イン・ザ・ミドル(AiTM)型フィッシングの有効性が増していることを反映しています。多要素認証(MFA)自体は依然として存在しますが、攻撃者は被害者を巧みに操り、進行中のセッションを承認させてしまうのです。

Group-IBによる評価によると、Balonxはメキシコの20を超える金融機関を標的としており、少なくとも2025年10月以降、1,100件超の被害者から認証情報や金融データを収集してきたとされています。

Balonx PhaaSが銀行のOTPを窃取

同様のPhaaSは、SMSやアプリベースの検証ワークフローを突破するために、リアルタイムのセッション操作をますます活用するようになっています。

Balonxはまた、被害者をフィッシングページから侵害されたAndroidデバイスへと誘導しようとします。偽の「銀行保護」プロンプトは、セキュリティアプリを装った悪意あるAPKを配布します。

このマルウェアは、商用のリモートアクセス型トロイの木馬(RAT)フレームワーク「Spyroid」と関連付けられており、SMSメッセージの窃取、キー入力や画面のキャプチャ、ファイルへのアクセス、銀行アプリの動作監視などが可能です。

このAPKは、コマンド&コントロール(C2)インフラとの永続的な接続を維持しているとされており、被害者がフィッシングサイトを離れた後も銀行コードを傍受できる、もう一つの経路を作り出しています。

この層により、犯罪グループが単一のブラウザセッションに依存する必要がなくなり、より長期にわたる侵害状態が作り出されます。

銀行にとって、Webフィッシングとモバイルデバイスの制御を組み合わせた手口はとりわけ懸念すべきものです。不審なWebサイトに気づいた時にはすでに手遅れで、被害者の端末には認証データの収集や後続の詐欺行為を支援するマルウェアがすでにインストールされている可能性があります。

Antivirus& Malware

「CallFlow」と呼ばれる並行コンポーネントは、AIを活用した音声詐欺を導入しています。報道によれば、このプラットフォームは対話生成にGPT-4o-mini、合成音声にElevenLabsおよびOpenAIの音声サービス、音声認識にWhisper、発信通話のインフラにFreePBXを組み合わせています。

その結果生まれるのは、人間のコールセンターオペレーターを介さずに、実際の会話を行い、被害者の返答を処理し、文脈に応じたフォローアップの発話を生成できる、自動化された偽の銀行担当者です。

このワークフローは、標的をBalonxのフィッシングページへ誘導したり、OTPを聞き出すよう説得したり、悪意あるAPKのインストールを迫ったりする目的で利用可能です。

この収斂により、詐欺のモデルは変化しています。フィッシングリンク、ソーシャルエンジニアリング、モバイルマルウェア、ビッシングはもはや別々のキャンペーンではなく、アフィリエイトがアクセス可能な単一のプラットフォーム内に統合されたモジュールとなっているのです。

Balonxはまた、摘発を逃れるために積極的なドメインローテーションを行っています。Group-IBは、Balonxおよび関連する「Aclaraciones Bancarias」キャンペーンに350以上のドメインを関連付けており、ドメインが変わってもアフィリエイトのアカウント、被害者データ、有効なセッションは一元化されたバックエンドサービスによって維持されています。

防御側は、ドメインやインフラの迅速な相関分析を優先し、OTPやAPKのインストールを要求するなりすましページを監視するとともに、予期しない銀行からの電話は信用しないよう扱うべきです。

金融機関は、フィッシング耐性のある認証方式への移行を進め、取引リスク管理を強化するとともに、依頼していない電話でワンタイムコードを求めることは正規のサポートチームでは決してない、ということを顧客に理解してもらう必要があります。

侵害指標(IOC)

注: IPアドレスおよびドメインは、誤った名前解決やハイパーリンク化を防ぐため、意図的に無害化(defang)されています(例: [.])。再度有効な形式(re-fang)に戻す作業は、MISP、VirusTotal、あるいは各自のSIEMなど、管理された脅威インテリジェンスプラットフォーム内でのみ行ってください。

[ライブウェビナー] Elastic社とUnderDefense社によるウェビナーで、少人数のセキュリティチームがAIの可視性とエージェント型対応をいかに一つの運用モデルに統合できるかをご紹介します。 -> 今すぐ登録