メキシコの金融セクターが、産業化されたフィッシングの脅威にさらされています。「Balonx Sistema」は、メキシコをターゲットとするPhishing-as-a-Service(PhaaS)プラットフォームで、少なくとも2025年10月以降、1,100人を超える銀行利用者から認証情報や金融データを窃取してきました。
Dataprivacy consulting
このサービスは20社を超えるメキシコの金融機関を標的とし、ライブフィッシング、Androidマルウェア、AIを活用した音声詐欺を1つのサブスクリプション型オペレーションに統合しています。
アフィリエイトはキットを買い切るのではなく週単位でアクセス権をレンタルする仕組みで、これにより流出した管理パネルとコードの中で「balonx」と名乗る運営者は、インフラ、被害者セッション、銀行テンプレート、アフィリエイト権限に対する管理権を保持し続けられます。
報道によれば、このサービスは個人向けプランを週3,000メキシコペソ、オフィス向けプランを週6,000メキシコペソで提供していたとされています。
オフィス向けプランは最大8つのエグゼクティブサブアカウントに対応しており、管理者は各アフィリエイトが標的にできる銀行を制限することも可能です。
登録はTelegramボット経由で行われ、SuperAdminによる承認制となっています。また、Bitso APIとの統合により、暗号資産を用いたサブスクリプション認証が自動化されています。
Balonxの中核機能は、フィッシングページと運営者用管理パネルとの間に確立される常時接続のWebSocket通信です。
静的なウェブページ経由で認証情報を収集する従来型とは異なり、このプラットフォームは詐欺グループに被害者の行動をリアルタイムで可視化させ、ページ内容をその場で書き換える能力を与えます。
このシステムには、銀行のログインページ、SMSワンタイムパスワード入力画面、決済認証リクエスト、ATM PIN収集画面、カード情報入力フォーム、QRコードによるカードスキャンページ、本人確認フロー、カスタムメッセージウィンドウなど、14種類の不正な画面テンプレートが用意されています。
これにより運営者は、被害者が銀行の正規の認証プロセスを進めるのに合わせて、ソーシャルエンジニアリングの手口を臨機応変に変化させることができます。
Group-IBの研究者らによると、Balonx Sistemaは、単体のフィッシングキットから中央集権的に管理された犯罪SaaSエコシステムへという大きな転換を体現しているといいます。
AIを駆使したBalonx Sistema
この手法はSMSベースの多要素認証(MFA)に対して特に有効です。盗んだ認証情報を使って正規の銀行サービス側でOTP(ワンタイムパスワード)チャレンジを発生させた後、運営者は被害者に対して即座に一致するコード入力画面を表示させることができます。
被害者はそれと知らずに、有効期限が切れる前に取引コードやログインコードを攻撃者へと転送してしまうことになります。
Balonxはさらに、銀行保護ツールを装った悪意あるAndroidアプリケーションも配布しています。
研究者らは、BankProtectという名で知られるこのAPKを、フィッシングの流れの中で偽のセキュリティ警告を通じて配布される、SpyroidベースのAndroidリモートアクセス型トロイの木馬であると特定しました。
このアプリケーションはsacred.explosionというパッケージ名を使用しており、196.251.84[.]11:7771にあるコマンド&コントロール(C2)サーバーを含む、Base64で難読化された設定データを内包しています。
Dataprivacy consulting
安定的に稼働する12人のユーザーだけでも、推定総収益は約1,728,000メキシコペソに達し、これは現在の為替レートで約99,384.61米ドルに相当します。
インストールされると、C2サーバーへの常時接続が確立され、運営者は画面表示内容、キーストローク、SMSメッセージ、銀行アプリとのやり取りにアクセスできる可能性があります。
このブラウザからデバイスへのエスカレーションは重要な意味を持ちます。盗まれた認証情報にモバイル端末の監視機能が加わることで、アカウント乗っ取りや不正取引が、従来型の銀行不正対策に対してより強い耐性を持つようになるためです。
並行して稼働する「CallFlow」というモジュールは、AIが金融詐欺オペレーションにどのように組み込まれているかを示しています。
このプラットフォームは、会話応答の生成にGPT-4o-miniを、合成音声の生成にElevenLabsを、そして被害者の応答をリアルタイムで書き起こすためにOpenAI Whisperを使用しています。
システムは銀行の担当者になりすまし、最大30の同時SIPチャンネルに対応可能なFreePBXインフラを介して動作します。
コールセンターの担当者を自動化された音声パイプラインに置き換えることで、Balonxはビッシング(音声フィッシング)を行う犯罪グループにとって大きな運用上のボトルネックを解消しています。
このAI音声エージェントは、スケーラブルかつ文脈を踏まえた通話を行いながら、標的をフィッシングリンク、認証情報の開示、OTPの窃取、あるいは悪意あるAPKのインストールへと誘導することができます。
Group-IBは、350を超えるドメインをBalonxおよび関連する「Aclaraciones Bancarias」キャンペーンに紐付けています。
運営者は摘発後にドメインをローテーションさせますが、アフィリエイトデータ、被害者記録、進行中のキャンペーン運用は、集中管理されたPostgreSQLバックエンドを通じてインフラの変更をまたいで維持され続けています。
Dataprivacy consulting
金融機関は、フィッシングドメインの監視、WebSocketベースの認証情報収集のリアルタイム検知、APK配布の制御を優先的に実施するとともに、銀行が電話やリンクを通じて一方的にOTP・PIN・アプリのインストールを求めることはないと利用者に注意喚起するメッセージ発信に取り組むべきです。
★ 見直すべきセキュリティツールはどれか?1ページでスコア化 – 継承セキュリティスタックガイドをダウンロード
翻訳元: https://gbhackers.com/ai-powered-balonx-sistema/
