Uma campanha sofisticada de fraude bancária, rastreada como Balonx Sistema, está utilizando inteligência artificial generativa para burlar autenticação multifator (MFA) e comprometer contas de clientes em instituições financeiras. A operação, identificada pela Group-IB, combina chamadas de voz automatizadas com páginas de phishing em tempo real, permitindo que criminosos guiem as vítimas durante o processo de login e capturem credenciais sensíveis.
Detalhes da Campanha Balonx
A campanha atinge mais de 20 instituições financeiras no México e já coletou credenciais e dados financeiros de mais de 1.100 pessoas desde outubro de 2025. O ataque é estruturado como um serviço de assinatura (PhaaS), reduzindo a barreira de entrada para afiliados que desejam executar golpes bancários em escala. O modelo oferece planos individuais e corporativos, concedendo acesso controlado a sessões de vítimas e marcas bancárias selecionadas.
Os analistas da Group-IB identificaram a plataforma após repositórios vazados no GitHub exporem partes de sua operação, incluindo infraestrutura e rede de afiliados. A combinação de phishing ao vivo, um trojan de acesso remoto (RAT) para Android e fraude de voz automatizada cria um vetor de ataque híbrido que explora tanto a engenharia social quanto vulnerabilidades técnicas.
Mecanismo de Ataque e Bypass de MFA
O núcleo da operação Balonx utiliza uma conexão WebSocket persistente para manter a página de phishing e o painel de controle dos criminosos vinculados em tempo real. Quando um alvo digita as credenciais bancárias, o operador pode retransmiti-las para o site bancário genuíno, acionar um prompt de MFA e imediatamente exibir uma tela de verificação falsa correspondente.
A precisão temporal é central para o golpe. As vítimas podem ser solicitadas a fornecer um código SMS, código de aprovação de compra, PIN de caixa eletrônico, detalhes do cartão ou código de saque sem cartão, tudo sob a aparência de uma verificação bancária. O Balonx pode apresentar 14 tipos de tela diferentes, permitindo que um afiliado altere a narrativa conforme a sessão se desenvolve e mantenha a vítima movendo-se através das etapas solicitadas.
Essa técnica se assemelha a ataques de phishing que contornam o MFA, colocando o atacante entre o cliente e o serviço legítimo, em vez de simplesmente coletar uma senha. A abordagem faz com que uma verificação de segurança comum pareça genuína, pois a página fraudulenta responde enquanto a sessão bancária real está ativa.
Módulo de Voz e Engenharia Social
Um módulo separado, chamado CallFlow, torna a engenharia social mais convincente. Ele utiliza um modelo de linguagem, processamento de fala para texto e fala sintética para realizar chamadas como um representante bancário fabricado chamado Carolina. A plataforma pode executar campanhas de saída sem depender de um operador humano para cada conversa.
Essa automação pode fazer com que uma chamada suspeita pareça pessoal e responsiva. Coberturas recentes de chamadas de suporte bancário automatizadas ilustram o mesmo perigo: um chamador pode direcionar um alvo para uma página falsa e, em seguida, usar a interação para obter credenciais ou persuadi-los a instalar software malicioso.
Acesso Móvel e Risco de Dispositivo
O Balonx também distribui um trojan de acesso remoto baseado em Spyroid para Android através de uma tela que se passa por um alerta de proteção bancária. Uma vez instalado, o aplicativo pode manter contato com seu servidor de comando e enviar conteúdo da tela, digitação, mensagens SMS e atividade do aplicativo bancário para os criminosos.
Sua conexão persistente é projetada para não expirar, o que pode dar a um operador acesso ininterrupto após o sucesso inicial da decepção. Essa segunda etapa transforma uma tentativa de phishing de conta em uma potencial tomada de controle do dispositivo. Segue um padrão mais amplo visto em ameaças de controle remoto bancário para Android, onde criminosos usam um site fraudulento ou chamada para empurrar um aplicativo fora da loja oficial e obter acesso mais profundo ao telefone.
Recomendações para Instituições Financeiras
Os clientes bancários devem encerrar chamadas de suporte inesperadas e ligar independentemente para o número impresso no cartão ou mostrado no aplicativo bancário oficial. Eles nunca devem instalar um aplicativo sugerido por um chamador ou um site não verificado e devem tratar solicitações de PIN, CVV ou digitalização de cartão como um sinal de alerta.
A campanha também alterna domínios, preservando os dados mesmo após um site fraudulento ser relatado ou removido. As instituições financeiras podem monitorar infraestrutura relacionada, atividade WebSocket incomum e cadeias de redirecionamento suspeitas. Para usuários de alto valor, chaves de segurança de hardware baseadas em FIDO2 são mais resistentes a ataques de relay em tempo real do que códigos SMS.
Qualquer pessoa que acredite ter compartilhado informações deve entrar em contato com seu banco através de canais bancários oficiais verificados imediatamente, redefinir credenciais e revisar transações recentes.
Indicadores de Comprometimento (IoCs)
- Domínio: Aclaraciones-digital[.]online (Infraestrutura da campanha Balonx)
- Domínio: suporte-aclaracion[.]xyz (Infraestrutura da campanha Balonx)
- Domínio: balonx[.]online (Infraestrutura da campanha Balonx)
- Domínio: callbalonx[.]info (Portal de login CallFlow AI vishing)
- Domínio: panelbalonxfs[.]xyz (Backend FreePBX e UCP do CallFlow)
- IP: 196.251.84[.]11 (Servidor C2 do Android RAT)
- Porta: 7771/TCP (Porta C2 do Android RAT)
- IP: 85.31.235[.]109 (Servidor SIP CallFlow)
- Porta: 5160/TCP (Porta de serviço SIP CallFlow)
Perguntas Frequentes
Como saber se uma chamada é legítima? Bancos nunca solicitam que você instale aplicativos ou forneça códigos de verificação por telefone. Sempre desligue e ligue para o número oficial no verso do seu cartão.
O que fazer se já compartilhei dados? Contate seu banco imediatamente através de canais oficiais, redefina credenciais e revise transações recentes para identificar atividades não autorizadas.