根據 Group-IB 研究人員的說法，一款新的網路釣魚工具包正運用生成式 AI，全自動發動語音網路釣魚（vishing）攻擊。

這個名為「Balonx」的網路釣魚平台，包含一個稱為「CallFlow」的模組。研究人員表示，該模組「代表網路釣魚即服務（phishing-as-a-service）市場的一項根本性演進」。CallFlow 使用四項商用 AI 服務執行攻擊，包括 OpenAI 的 GPT-4o-mini、ElevenLabs 的 AI 語音產生器、OpenAI Voice，以及 OpenAI Whisper。

Group-IB 表示：「當 CallFlow 聯絡受害者時，整段對話完全由 LLM 透過 ElevenLabs 的語音設定檔，以一名虛構銀行代表 Carolina 的合成聲音進行。OpenAI Whisper 會即時轉錄受害者的語音回覆，再將逐字稿傳回 GPT-4o-mini，以產生符合情境的後續回覆。對多數受害者而言，這種互動與真人客服人員的通話幾乎無法區分。」

Balonx 網路釣魚平台也允許真人操作人員即時監控攻擊，因此當 AI 遇到問題時，真人可以介入處理。

Group-IB 表示：「CallFlow 控制面板的管理介面會顯示作業儀表板，其中包括進行中的通話、每日通話量、成功率、排隊中的通話、進行中的活動、資料庫中的電話紀錄總數，以及平均通話時間。對該面板的調查發現，其中有多家銀行的目標攻擊活動，以及一組特定對應於某家銀行品牌帳戶的電話號碼資料庫，這表示該資料庫可能是自動化語音網路釣魚系統的主要通話清單。」Balonx 目前以墨西哥的使用者為目標，但 Group-IB 預期，這種由 AI 驅動的語音網路釣魚模式很快就會擴展至全球。

研究人員寫道：「語音網路釣魚攻擊過去一直受到真人操作人員數量的限制。CallFlow 模組完全消除了這項限制，讓單一操作人員能夠同時執行數百通詐騙電話，而通話過程本身完全不需要真人參與。隨著這種架構日益成熟，並在犯罪網路中擴散，金融機構將面臨規模空前、語言品質前所未有的語音網路釣魚攻擊。」

AI 原生資安意識訓練能培養員工健康的警覺心，協助他們避免落入社交工程攻擊的陷阱。KnowBe4 協助您的員工每天做出更明智的資安決策。全球有超過 70,000 家組織信賴 KnowBe4 Platform，以強化其資安文化並降低人為風險。