A Google apresentou uma ação judicial contra a Outsider Enterprise, uma rede de cibercrime com base na China, acusada de operar uma campanha de phishing alimentada por IA que visava utilizadores Android através de mensagens de texto e websites falsos. A empresa alega que o grupo utilizou a IA Gemini da Google para construir websites fraudulentos que imitavam o Google, o YouTube e agências governamentais, operando um modelo de phishing-as-a-service via Telegram. A Google disse que a rede estava associada a 9.000 websites falsos, mais de 1 milhão de URLs fraudulentas e 2,5 milhões de mensagens de texto enviadas a utilizadores Android, com cerca de 55.000 mensagens de spam assinaladas durante um período de duas semanas em maio. Este é o primeiro caso em que a Google tomou uma ação legal direta contra um grupo acusado de usar a Gemini como parte de um fluxo de burlas. A ação judicial evidencia a mudança do debate sobre preocupações abstratas de mau uso de IA para operações de fraude documentadas, já que as ferramentas de IA generativa reduzem as barreiras técnicas para criminosos que procuram escalar campanhas de phishing.
Outsider Enterprise Operou Phishing-as-a-Service via Telegram
A Google disse que o grupo operava através do Telegram e oferecia ferramentas de phishing-as-a-service a criminosos que não necessitavam de competências técnicas avançadas. A rede alegadamente forneceu instruções para usar a IA Gemini da Google na construção de websites fraudulentos que imitavam o Google, o YouTube e agências governamentais, incluindo o sistema E-ZPass de Nova Iorque.
A Google disse que o grupo oferecia quase 300 modelos de burla e que estava ligado a 9.000 websites falsos e a mais de 1 milhão de URLs fraudulentas. A campanha resultou no envio de mais de 2,5 milhões de mensagens de texto para utilizadores Android, incluindo cerca de 55.000 mensagens de spam assinaladas durante um período de duas semanas em maio.
As mensagens frequentemente alertavam os utilizadores sobre problemas de conta, falhas de encomendas, pagamentos de portagens ou outras alegações urgentes. As vítimas que clicavam nas ligações eram enviadas para websites falsos concebidos para parecer legítimos, onde os atacantes tentavam roubar informações pessoais, dados bancários e credenciais de pagamento.
IA Gemini Alegadamente Usada para Gerar Websites Fraudulentos em Escala
O uso alegado de IA generativa altera a economia do phishing. Páginas fraudulentas que antes exigiam trabalho manual de design podem agora ser produzidas mais rapidamente, adaptadas a diferentes marcas e implementadas através de modelos prontos. Isto reduz a barreira para criminosos menos técnicos e permite que redes de burlas escalem campanhas através de milhares de URLs.
Para as empresas de tecnologia, o caso também evidencia uma tensão difícil do produto. Sistemas de IA são construídos para seguir instruções e gerar saídas polidas, mas essas mesmas capacidades podem ser abusadas para produzir websites falsos convincentes, mensagens de apoio ao cliente e páginas de imitação de marcas. Barreiras de segurança mais fortes podem reduzir abusos, mas os atacantes muitas vezes procuram prompts indiretos, reutilização de modelos ou fluxos de trabalho externos que contornem a deteção.
Google Coordena com FBI e Operadores de Telecomunicações para Bloquear Mensagens Maliciosas
A Google disse que está a trabalhar com a divisão de cibercrime do FBI numa investigação criminal paralela e que também coordenou com a AT&T, Verizon e T-Mobile para bloquear mensagens de texto maliciosas ligadas à campanha.
A empresa também apontou para as suas próprias defesas de produto. A Google disse que as suas ferramentas de mensagens intercetam mais de 10 mil milhões de mensagens maliciosas a cada mês, enquanto a deteção de burlas no Android pode assinalar chamadas e contactos suspeitos em tempo real. Essas defesas poderão ter limitado o número de tentativas de phishing bem-sucedidas, embora a Google não tenha estimado quanto dinheiro foi roubado através das campanhas da Outsider Enterprise.
O desafio é que os operadores do grupo permanecem sem identificação. Mesmo que os nomes sejam eventualmente estabelecidos, a aplicação da lei torna-se mais difícil quando os alegados perpetradores estão fora dos Estados Unidos. A Google pode perseguir domínios fraudulentos, contas do Telegram, infraestrutura de alojamento e ativos relacionados, mas a operação subjacente pode mudar para novas marcas, novos domínios ou novos canais de entrega.
«Criminosos estão a usar cada vez mais IA para tornar fraudes como esta mais convincente e mais difícil de detetar», disse Brett Leatherman, da Divisão de Cibercrime do FBI.
Google Apoia Legislação Federal que Visa Burlas Assistidas por IA
A Google está a usar a ação judicial para renovar o apoio a legislação federal destinada a burlas assistidas por IA, manipulação de mercado e sensibilização pública. A empresa apoiou várias propostas bipartidárias, incluindo o National Strategy for Combating Scams Act, o Strategic Task Force on Scam Prevention Act, o AI Plan Act e o Stop SCAMS Against Seniors Act.
Grande parte da legislação proposta determinaria que agências federais coordenem com mais proximidade a fraude habilitada por IA, criem forças-tarefa ou melhorem a educação pública sobre usos maliciosos de IA. Esta abordagem reflete uma visão crescente de que a prevenção da fraude não pode ser tratada apenas por moderação privada de plataformas ou por ações judiciais posteriores ao facto.
O problema mais amplo de política pública é que burlas geradas por IA se tornarão mais difíceis de identificar à medida que os modelos melhorem. Campanhas de sensibilização pública podem ajudar os utilizadores a reconhecer táticas comuns, mas os atacantes provavelmente continuarão a refinar mensagens, páginas e técnicas de imitação. Isto deixa as grandes empresas de tecnologia com uma dupla carga: criar produtos de IA que as pessoas queiram usar, ao mesmo tempo que impede que essas mesmas ferramentas se tornem infraestrutura para fraudes em escala industrial.
FAQ
O que é que a Google acusou a Outsider Enterprise de fazer?
A Google acusou a Outsider Enterprise, uma rede de cibercrime com base na China, de operar uma operação de phishing alimentada por IA que usou a IA Gemini da Google para criar websites falsos que imitavam o Google, o YouTube e agências governamentais. O grupo alegadamente operava um modelo de phishing-as-a-service via Telegram, fornecendo quase 300 modelos de burla a criminosos. A Google disse que a rede estava associada a 9.000 websites falsos, a mais de 1 milhão de URLs fraudulentas e a 2,5 milhões de mensagens de texto enviadas a utilizadores Android.
Como é que a Google está a trabalhar para perturbar a operação de phishing?
A Google disse que está a trabalhar com a divisão de cibercrime do FBI numa investigação criminal paralela e que coordenou com a AT&T, Verizon e T-Mobile para bloquear mensagens de texto maliciosas ligadas à campanha. A empresa também afirmou que as suas ferramentas de mensagens intercetam mais de 10 mil milhões de mensagens maliciosas por mês, e que a deteção de burlas no Android pode assinalar chamadas e contactos suspeitos em tempo real. A Google está a perseguir domínios fraudulentos, contas do Telegram e infraestrutura de alojamento associada à rede.
Que legislação federal apoia a Google para combater burlas assistidas por IA?
A Google apoiou várias propostas bipartidárias, incluindo o National Strategy for Combating Scams Act, o Strategic Task Force on Scam Prevention Act, o AI Plan Act e o Stop SCAMS Against Seniors Act. Grande parte da legislação proposta determinaria que agências federais coordenem com mais proximidade a fraude habilitada por IA, criem forças-tarefa ou melhorem a educação pública sobre usos maliciosos de IA.
