Balonx e BREEZE COMET: fraude contra clientes e instituições

A fraude bancária pode atingir a pessoa que autoriza uma transação ou os acessos institucionais usados para executá-la. Os relatórios sobre Balonx Sistema e BREEZE COMET ajudam a examinar essa diferença. O tema financeiro em comum não transforma os casos em uma única campanha.

Este artigo sintetiza relatórios de terceiros e apresenta uma interpretação editorial. Os números de cada fornecedor permanecem separados: não são somados nem tratados como uma medição de toda a fraude no México e no Brasil.

A camada do cliente: Balonx Sistema

A Group-IB descreve, no relatório de 19 de agosto de 2026, uma plataforma de phishing como serviço direcionada a mais de 20 instituições financeiras mexicanas. A assinatura semanal custa 3.000 MXN no plano individual, com até dois dispositivos, e 6.000 MXN no plano de escritório, com até oito subcontas. O relatório descreve pagamentos automatizados por meio da API da Bitso.

A contagem de infraestrutura exige uma ressalva: a Group-IB associa mais de 350 domínios às campanhas «Aclaraciones Banciaras» e Balonx, com o primeiro domínio registrado em 2019. Isso não permite datar em 2019 todas as funções da plataforma atual nem atribuir exclusivamente ao Balonx cada domínio do conjunto.

O mecanismo descrito mantém uma conexão WebSocket que permite ao operador apresentar qualquer uma de 14 telas falsas, incluindo acesso, OTP, NIP e cartão. O risco não está apenas na aparência do formulário: está também no uso de um código enquanto ele ainda é válido. A tela PROTECCION_BANCARIA oferece um trojan Android baseado em Spyroid.

O relatório apresenta ainda o CallFlow: diálogos com GPT-4o-mini, voz com ElevenLabs e transcrição com Whisper, em uma central configurada por padrão com 30 canais SIP simultâneos. São capacidades descritas pelo fornecedor, não prova de 30 chamadas fraudulentas observadas em cada operação.

Como referência separada, a Kaspersky documentou o JanelaRAT em 13 de abril de 2026 e informou 14.739 ataques no Brasil e 11.695 no México durante 2025, em sua própria telemetria. O sequestro de sessões bancárias em tempo real descrito permite comparar mecanismos, mas não atribuir o JanelaRAT ao Balonx.

A camada da instituição: BREEZE COMET

O Google Threat Intelligence / Mandiant publicou, em 1º de setembro de 2026, a análise de um ator acompanhado desde 2024. O foco são organizações autorizadas a usar aplicações bancárias, APIs e sistemas como Pix, STR e Boleto. O relatório descreve contas privilegiadas comprometidas e o COBALTSPIN, um túnel escrito em Rust.

A Mandiant situa duas ondas de centenas de transações fraudulentas nas 24 a 48 horas posteriores ao acesso às aplicações financeiras centrais, com base no relato de um cliente e em um relatório forense externo. Essa janela corresponde aos episódios descritos, não à duração universal de intrusões financeiras.

O fornecedor também descreve o uso de modelos de linguagem para acelerar reconhecimento, validação de credenciais e implantação, além de sobreposições com atividades publicadas como Plump Spider e SHADOW-AETHER-064. São associações da Mandiant, não um vínculo com o Balonx estabelecido por este artigo.

Minha leitura: controles para superfícies diferentes

A conclusão editorial é que proteger as confirmações dos clientes e os acessos privilegiados são responsabilidades complementares. No primeiro caso, importa quem controla a interação de autenticação; no segundo, quem pode operar as aplicações de pagamento e como esse acesso é supervisionado.

A IA aparece em partes diferentes do processo: conversa e voz no CallFlow; tarefas técnicas no BREEZE COMET. Os relatórios não demonstram que a IA, isoladamente, explique a eficácia dos ataques nem que os dois atores formem uma única operação.

Para contextualizar a comparação, consulte os países documentados e as lacunas de cobertura do dataset LATAM. Cobertura documental não mede prevalência nem demonstra infraestrutura compartilhada.

Duas perguntas orientam a revisão: quais confirmações um atacante poderia retransmitir enquanto interage com um cliente? E quais privilégios institucionais permitiriam executar transações antes de a equipe de fraude perceber o padrão? São perguntas de avaliação, não uma certificação de controles nem uma prescrição completa para todas as instituições.