Balonx Sistema: a PhaaS mexicana que usa vishing com IA e RAT móvel contra bancos
A Group-IB expôs o Balonx Sistema, uma plataforma de Phishing-as-a-Service operada a partir do México que já mirou mais de 20 instituições financeiras, incluindo o Banamex. O serviço combina páginas de phishing em tempo real que interceptam códigos de segunda fator, um RAT para Android distribuído pela própria página falsa e um módulo de vishing com IA (CallFlow) capaz de sustentar até 30 ligações simultâneas com voz sintética. Uma falha operacional dos próprios criminosos, com repositórios no GitHub vazando código-fonte e credenciais, permitiu o mapeamento completo da operação.
A Group-IB documentou o Balonx Sistema como um negócio criminoso completo, com planos de assinatura semanal (individual e "office", este último com até oito subcontas para operadores), pagamento automatizado via API da exchange de criptomoedas Bitso e aprovação de afiliados controlada por um bot no Telegram. Desde 2019 a operação já rotacionou mais de 350 domínios e, apenas a partir de outubro de 2025, coletou mais de 1.100 credenciais de clientes de bancos mexicanos.
Por dentro, a técnica central é o phishing em tempo real: uma conexão WebSocket persistente liga a página falsa ao painel do operador, que insere as credenciais roubadas diretamente no site legítimo do banco. Quando o banco solicita o código de autenticação multifator, o operador exibe instantaneamente uma tela pedindo esse mesmo código à vítima — que, acreditando estar se autenticando normalmente, entrega o OTP direto ao golpista. É um ataque clássico de adversary-in-the-middle contra o segundo fator, com 14 tipos de telas fraudulentas disponíveis (login, cartão, NIP etc.) para cobrir diferentes bancos e cenários. Em paralelo, o RAT Android (baseado em Spyroid, distribuído sob o disfarce de "proteção bancária" dentro do próprio fluxo de phishing) dá controle remoto, keylogging e captura de tela do aparelho da vítima, enquanto o módulo CallFlow automatiza vishing usando GPT-4o-mini para o diálogo, ElevenLabs para a voz sintética e Whisper para transcrição — eliminando a necessidade de operadores humanos em escala.
Para o usuário, o sinal de alerta mais confiável é a própria mecânica do golpe: nenhum banco pede para o cliente "confirmar" ou repassar um código de autenticação que acabou de receber, e nenhum atendimento legítimo pede a instalação de um aplicativo de "proteção" durante uma sessão de phishing ou uma ligação não iniciada pelo próprio cliente. Instituições financeiras devem monitorar padrões como conexões WebSocket anômalas em sessões de login, sequências de solicitação de OTP anormalmente rápidas e instalações de APK referenciando infraestrutura desconhecida, além de migrar para MFA resistente a phishing (chaves FIDO2/passkeys), que não depende de um código digitável interceptável.
O caso ilustra a industrialização do PhaaS bancário na América Latina: um modelo de assinatura com suporte, atualizações e preço fixo baixa a barreira de entrada para qualquer criminoso operar fraude em escala contra dezenas de bancos simultaneamente, o que exige monitoramento contínuo de domínios e inteligência de ameaças compartilhada entre instituições, não apenas defesas pontuais por banco.