Los hackers están combinando llamadas telefónicas generadas por IA con páginas bancarias falsas para apoderarse de cuentas de clientes, logrando evadir incluso la autenticación de múltiples factores (MFA). Esta campaña, denominada Balonx Sistema, permite a los criminales monitorear en tiempo real la sesión de phishing de la víctima y solicitar información en el momento preciso, afectando a más de 20 países.

Están combinando llamadas telefónicas generadas por IA con páginas bancarias falsas para apoderarse de las cuentas de los clientes, incluso cuando la autenticación de múltiples factores está activada.

La campaña, rastreada como Balonx Sistema, otorga a los criminales una vista en vivo de la sesión de phishing de la víctima y les permite solicitar información en el momento preciso en que se necesita.

La operación tiene como objetivo más de 20 instituciones financieras mexicanas y ha recopilado credenciales y datos financieros de más de 1,100 personas desde al menos octubre de 2025.

Está construida como un servicio de suscripción, reduciendo la barrera para los afiliados que quieren ejecutar estafas bancarias a gran escala. Cuenta con planes individuales y de oficina, otorgando a múltiples operadores acceso controlado a las sesiones de las víctimas y a marcas bancarias seleccionadas.

Analistas de Group-IB identificaron la plataforma después de que repositorios filtrados de GitHub expusieran partes de su operación, incluyendo su infraestructura y red de afiliados.

Group-IB señaló en un informe que Balonx combina phishing en vivo, una herramienta de acceso remoto para Android y fraude de voz automatizado.

El resultado es un ataque híbrido que pasa de una llamada urgente a un sitio web convincente y, en algunos casos, a una aplicación móvil maliciosa. Esto demuestra por qué un código enviado por mensaje de texto no siempre es suficiente para detener a un estafador que te está guiando.

Uutilizan llamadas de voz con IA y páginas bancarias falsas

Balonx utiliza una conexión WebSocket persistente para mantener vinculada la página de phishing y el panel de control del criminal en tiempo real.

Después de que el objetivo escribe sus credenciales bancarias, el operador puede transmitirlas al sitio real del banco, activar una solicitud de MFA y mostrar inmediatamente una pantalla de verificación falsa coincidente.

Esa sincronización es fundamental para la estafa. Se te puede solicitar un código SMS, un código de aprobación de compra, el PIN del cajero automático, los detalles de la tarjeta o un código de retiro sin tarjeta, todo bajo la apariencia de una verificación bancaria.

Balonx puede presentar 14 tipos de pantallas diferentes, lo que permite a un afiliado cambiar la historia a medida que se desarrolla la sesión y mantenerte avanzando a través de los pasos solicitados.

La técnica se asemeja a los ataques de phishing que evaden el MFA al colocar al atacante entre el cliente y el servicio legítimo, en lugar de simplemente recopilar una contraseña.

Este enfoque hace que un control de seguridad ordinario parezca genuino porque la página fraudulenta responde mientras la sesión real del banco está activa.

Un módulo separado llamado CallFlow hace que la ingeniería social sea más convincente. Utiliza un modelo de lenguaje, procesamiento de voz a texto y habla sintética para realizar llamadas como una representante bancaria ficticia llamada Carolina.

La plataforma puede ejecutar campañas salientes sin depender de un operador humano para cada conversación. Esta automatización puede hacer que una llamada sospechosa se sienta personal y receptiva.

La cobertura reciente sobre llamadas automatizadas de soporte bancario ilustra el mismo peligro: quien llama puede dirigir al objetivo hacia una página falsa y luego usar la interacción para obtener credenciales o persuadirlo para que instale software.

El acceso móvil extiende el fraude

Balonx también distribuye un troyano de acceso remoto para Android basado en Spyroid a través de una pantalla que se hace pasar por una alerta de protección bancaria.

Una vez instalada, la aplicación puede mantener contacto con su servidor de comando y enviar el contenido de la pantalla, las pulsaciones de teclas, los mensajes SMS y la actividad de la aplicación bancaria a los criminales.

Su conexión persistente está diseñada para no caducar, lo que puede darle a un operador acceso ininterrumpido después de que el engaño inicial tenga éxito.

Esta segunda etapa convierte un intento de phishing de cuenta en una potencial toma de control del dispositivo.

Sigue un patrón más amplio visto en las amenazas bancarias de control remoto de Android, donde los criminales utilizan un sitio web o una llamada fraudulenta para impulsar una aplicación fuera de una tienda oficial y obtener un acceso más profundo al teléfono.

Como cliente bancario, debes finalizar las llamadas de soporte inesperadas y llamar de forma independiente al número impreso en tu tarjeta o al que se muestra en la aplicación bancaria oficial.

Nunca debes instalar una aplicación sugerida por quien te llama o por un sitio web no verificado, y debes tratar las solicitudes de PIN, CVV o el escaneo de la tarjeta como una señal de advertencia.

La campaña también rota dominios, preservando los datos incluso después de que un sitio fraudulento sea reportado o eliminado.

Las instituciones financieras pueden monitorear la infraestructura relacionada, la actividad WebSocket inusual y las cadenas de redirección sospechosas. Para usuarios de alto valor, las llaves de seguridad de hardware basadas en FIDO2 son más resistentes a los ataques de retransmisión en tiempo real que los códigos SMS.

Cualquier persona que crea haber compartido información debe contactar a su banco a través de canales bancarios oficiales verificados inmediatamente, restablecer sus credenciales y revisar las transacciones recientes.

Fuentes:
https://cybersecuritynews.com/hackers-use-ai-voice-calls/