メキシコの銀行20行超を狙うPhaaS「Balonx Sistema」 — WebSocketでMFAを迂回、Android RATとAI自動音声詐欺をGroup-IBが解明

Group-IBは2026年8月、メキシコの銀行インフラを標的とするPhishing-as-a-Service（PhaaS）「Balonx Sistema（バロンクス・システマ）」の技術分析を公表した。PhaaSとは、フィッシングサイトの構築・運用をサービスとして貸し出す犯罪モデルだ。Balonxは20以上の金融機関を標的とし、WebSocketによるリアルタイム中間者攻撃、Android向けRAT、AIによる自動音声詐欺（vishing）を一体で提供する点が特徴だ。決定的な手がかりは、運用者がGitHubに残したリポジトリの漏えいだった。

何が起きたか

Group-IBによると、Balonx Sistemaはメキシコを拠点とするハンドル名「balonx」を名乗る運用者が開発し、Facebook上の「Base de Datos」などのグループで公然と宣伝されていた。2025年6月ごろから開発が始まり、商用ローンチは2025年10月4日とコード内に記録されている。

Group-IBが被害者のランディングページを発見し、読み込まれるJavaScriptから管理パネルのパスやTelegramボットの登録導線を特定。さらに公開状態だったGitHubリポジトリから、パネル全体の設計、被害者データ、ドメイン一覧まで可視化できたという。

同社は、少なくとも1,100件以上の認証情報と金融データが2025年10月以降に収集され、12人の常連利用者による収益が約1,728,000 MXN（約99,384 米ドル相当）に上ると推定している。

SaaSさながらの犯罪ビジネスモデル

Balonxは闇市場でキットを売り切るのではなく、合法的なSaaSのように週額課金でアクセスを貸し出す。

• 登録: Telegramボット経由で申請し、SuperAdmin（balonx）が承認する。
• 料金: Individual Planが週3,000 MXN（約2.5万円）で最大2デバイス、Office Planが週6,000 MXN（約5万円）で最大8人のExecutive（子アカウント）を運用できる。ExecutiveはTelegramのワンタイムパスワードで認証し、管理者（Admin）が allowedBanks という権限マトリクスで担当銀行を割り当てる。
• 決済: メキシコの暗号資産取引所BitsoのAPIで自動決済し、discount_codes テーブルで割引コードも管理する。

この集権的な設計により、運用者は全アフィリエイトの活動とインフラを一元管理できる。

WebSocketでMFAを迂回する仕組み

従来のフィッシングが「フォーム送信で認証情報を盗む」のに対し、Balonxは被害者のブラウザと攻撃者のパネルをWebSocket（エンドポイント /ws）で常時接続する。攻撃者は被害者が見ている画面をのぞき見し、入力を横取りし、画面を即時に書き換える「ライブ中間者」として振る舞う。

具体的には、被害者が偽サイトにID・パスワードを入力すると、攻撃者はそれを即座に本物の銀行サイトへ中継する。銀行がSMSのワンタイムコード（OTP）を送ると、攻撃者は CODIGO や SMS_COMPRA といった偽画面を被害者にプッシュし、「確認コードを入力してください」と求める。被害者がコードを入力すれば、そのまま攻撃者の手に渡る。

Group-IBによると、プッシュ可能な画面は14種類に上る。SCREEN_CHANGE プロトコルで切り替え、さらに「Mi Flujo Personal（マイパーソナルフロー）」機能では、銀行ごとに画面遷移をタイマーや入力トリガーで自動実行できる。熟練度が低いアフィリエイトでも、事前設定だけで有効なセッションを回せる。

同社はまた、Google翻訳やオープンリダイレクトなどの正規サービスを経由したリダイレクトチェーンで検知を回避する手口も確認している。

Android RAT「Spyroid」で端末を掌握

Balonxはブラウザの先で、Android端末そのものの乗っ取りも狙う。偽サイトの PROTECCION_BANCARIA（銀行保護）画面が、「保護アプリをインストールしてください」という偽の警告を出し、悪性APKのインストールを促す。

Group-IBがJADXで解析したAPKは、パッケージ名 sacred.explosion、メインクラス bxelllolzxqfmaszk1049 で、商用RAT-as-a-service「Spyroid（Spyroid.net）」を基盤とする。キーロギング、画面キャプチャ、ファイル操作、SNSアカウントの横取り、端末の遠隔操作が可能で、C2座標はBase64で難読化されている。

インストール後は setSoTimeout(0) によりTCP接続がタイムアウトせず、攻撃者はキーストローク、SMS、バンキングアプリの操作を含むデータをリアルタイムで吸い上げ続けられる。Group-IBによると、C2は 196.251.84[.]11:7771/TCP だった。

AIが電話詐欺を自動化する「CallFlow」

最も注目されるのが、並行して開発された独立モジュール「CallFlow（コールフロー）」だ。ドメイン callbalonx[.]info で提供され、人間の架電担当者をAIで完全に置き換える。

Group-IBがGitHubリポジトリから復元した構成は以下のとおりだ。

• PBX基盤: FreePBX 17.0.4.31 / 17.0.28、SIPサーバは 85.31.235[.]109:5160/TCP（デフォルトで30並行チャネル、マルチトランク対応）
• 音声合成: ElevenLabs（架空の銀行担当者「Carolina」名義の合成音声）
• 音声認識: OpenAI Whisper（被害者の発話をリアルタイム文字起こし）
• 会話制御: GPT-4o-mini（文脈に応じた返答を生成）

被害者が電話に出ると、合成音声の「Carolina」がLLMの指示どおりに会話し、Whisperが返答を文字起こしして再びLLMへ渡す。人間が介在しないまま、数百件の同時架電が可能になる。管理パネルでは、稼働中の通話、1日の発信量、成功率、キュー、キャンペーン、電話番号データベース（Banamex関連のデータベースも確認）が一覧でき、管理者はAsteriskのChanSpy機能で通話を盗聴もできる。Admin／Manager／Executiveの階層は本編PhaaSと同様だ。

350超のドメインを回転させる永続化

Balonxは単一ドメインに固執しない。検知・停止されるたびに新ドメインを取得し、中央のNeon PostgreSQLデータベースに接続し直すことで、被害者データやアフィリエイト情報を失わずに活動を継続する。Group-IBは、直近のドメインが過去のものと同一データを保持していることを確認し、2019年以降で350超の関連ドメインを高確度で特定した。

例として挙げられたドメイン・インフラは以下のとおりだ。

• Aclaraciones-digital[.]online、soporte-aclaracion[.]xyz、balonx[.]online
• callbalonx[.]info（CallFlowログイン）、panelbalonxfs[.]xyz（FreePBXバックエンド）
• GraphQL/REST APIは panelbalonxfs[.]xyz/admin/api/api/gql など、認証トークンは .../api/token、WebSocketは全ドメインで /ws

この中央集権アーキテクチャが、高速なドメインローテーションを可能にしている。

Group-IBが推奨する対策

Group-IBは、BalonxのIOC（侵害指標）は過去の遺物ではなく現在進行形のインフラとして扱うべきだとしている。同社が金融機関とセキュリティチーム向けに推奨している対策は以下のとおりだ。

• 脅威インテリジェンスの強化: 「Balonx」「aclaracion」などのキーワードで能動的なウォッチリストを運用し、ドメインローテーションを先回りして検知する。
• デジタルリスク保護: 自社ブランドをかたるフィッシング基盤を検知・テイクダウンし、グラフ分析で関連アフィリエイト網を可視化する（同社のDigital Risk Protectionなど）。
• Managed XDR: sacred.explosion パッケージなどのSpyroid指標や、通常の検知をすり抜ける異常なWebSocket通信をManaged Threat Huntingで捕捉する。
• 脅威インテリジェンスの活用: 自組織を狙うアクターやマルウェア群を専任アナリストがプロファイルする。
• リダイレクトチェーン分析: メール・Webゲートウェイで、Google翻訳などを悪用したリダイレクトの挙動異常を検知・ブロックする。
• FIDO2／ハードウェアキーへの移行: WebSocket中継によるAdversary-in-the-Middle（AitM）攻撃に耐性のあるハードウェア認証へ、特に特権利用者から移行する。

同社はまた、一般利用者に対しても、SMSやメッセージで届いたリンクから銀行サイトへアクセスせず、公式アプリやブックマークから直接アクセスすることの重要性を改めて強調している。今回の手口は、認証情報を盗むだけでなく、正規サイトとの中継でワンタイムコードまで奪うため、従来の「パスワード＋SMS」だけでは防ぎきれない。

なぜ日本でも注意が必要か

Balonxはメキシコの銀行を直接標的としているが、WebSocketによるライブ中間者、Spyroidのような商用RAT、AIによる自動vishingという3点セットは地域を問わず転用可能だ。日本でもフィッシングキットのPhaaS化とAI音声の悪用が報告され始めており、MFAを「SMSで追加すれば安全」とみなす運用は、AitM型の攻撃で突破され得る。Group-IBが推奨するFIDO2などの耐フィッシング認証への移行は、国内金融機関やSaaS事業者にとっても現実的な検討課題となる。

---

出典

• Group-IB「Balonx Sistema: The Face Behind the PhaaS Affecting Mexican Banking」 (2026年8月) https://www.group-ib.com/blog/balonx-sistema-mexico-phaas/
• BI.ZONEとの混同に注意: 本稿の一次情報は上記Group-IBブログのみに基づく。SecurityOnline.info等の二次情報は参照していない。

本稿は公開時点の一次情報に基づく解説であり、特定の組織・製品の安全性を保証するものではない。IOCは時間とともに変化するため、最新情報は一次情報の更新を参照されたい。