Google fa causa a un anello di phishing cinese basato su AI mentre l'FBI sequestra domini e 100.000 dollari nell'Operazione Ghost Hook

Venerdì è stato presentato un ricorso federale da Google contro una rete di cybercriminalità basata in Cina che, secondo i funzionari, ha utilizzato l'IA Gemini di Google per condurre una campagna di phishing ora collegata dall'FBI a 3,87 milioni di carte di credito rubate e a una perdita totale di 1,9 miliardi di dollari da luglio 2023.

La rete, che Google chiama "Outsider Enterprise", vendeva software di phishing in abbonamento per 88 dollari a settimana o 200 dollari al mese, secondo la denuncia presentata nel tribunale federale di Manhattan.

Gli acquirenti hanno avuto accesso a oltre 290 modelli di siti web pronti all'uso che impersonano banche, fornitori di telecomunicazioni, agenzie governative, società di spedizione, DMV statali, E-ZPass di New York, servizi governativi di NYC e dettaglianti, insieme a istruzioni passo passo per utilizzare le piattaforme IA per generare pagine false convincenti.

Google sta perseguendo accuse ai sensi del Racketeer Influenced and Corrupt Organizations Act (RICO), insieme a violazione del marchio e uso improprio dei servizi Google Cloud e Drive.

L'FBI ha tracciato 3,87 milioni di carte rubate e 1,9 miliardi di dollari di perdite fino a una rete

Tra il 14 novembre 2015 e il 14 aprile 2016, Google ha segnalato oltre 1,59 milioni di URL associati al servizio di phishing.

Durante un periodo di due settimane a maggio di quest'anno, gli utenti Android hanno segnalato 55.000 messaggi spam collegati all'operazione, e 2,5 milioni di dispositivi Android hanno ricevuto messaggi contenenti link ai siti web generati da Outsider.

Secondo un vice direttore dell'FBI, Brett Leatherman, le perdite finanziarie sono "molto più alte" di quelle riportate da Google. La piattaforma Outsider ha permesso agli attaccanti di compromettere circa 3,87 milioni di numeri di carte di credito e ha comportato perdite stimate per un totale di 1,9 miliardi di dollari da luglio 2023.

L'agenzia afferma che gli attacchi hanno colpito persone e aziende in 55 paesi. Le carte di pagamento stesse sono state emesse da istituzioni finanziarie in 95 paesi, secondo la denuncia di Google.

"I criminali usano sempre più l'IA per rendere le frodi come questa più convincenti e più difficili da rilevare", ha detto Leatherman.

Outsider vendeva una piattaforma di phishing chiavi in mano che funziona su Telegram e Gemini

Il software Outsider funziona come una piattaforma di phishing chiavi in mano che non richiede abilità di codifica. Gli abbonati acquistano l'accesso tramite un bot Telegram, quindi utilizzano modelli pre-costruiti per creare siti web falsi in pochi minuti. La piattaforma offre dashboard in tempo reale, registrazione della digitazione, raccolta automatizzata delle credenziali e strumenti per bypassare l'autenticazione multifattore.

Secondo la denuncia di Google, la rete ha distribuito tutorial dettagliati su come i suoi membri possono utilizzare Gemini e altri strumenti IA di Google per creare HTML di siti shell. Le richieste per Gemini erano formulate in modo da sembrare richieste di programmazione innocue per creare una "pagina di riscatto regalo" con le funzionalità desiderate, senza includere JavaScript e utilizzando CSS inline.

Una volta che un sito falso è attivo, il "gruppo di spammer" dell'operazione invia a raffica messaggi di testo che impersonano marchi affidabili. Le esche comuni includono pacchi mancanti, pedaggi non pagati, violazioni del parcheggio, problemi con conti di brokeraggio e premi dei fornitori di servizi mobili.

Le vittime che cliccano e inseriscono le loro credenziali cedono i dati in tempo reale attraverso il sistema di registrazione della digitazione della piattaforma.

La rete funzionava come un'azienda con quattro divisioni specializzate

La denuncia di Google descrive Outsider Enterprise come un'organizzazione strutturata. Un gruppo sviluppa e mantiene il software di phishing e i modelli.

Un altro cura le liste di target dai registri pubblici, dai social media e dalle violazioni dei dati.

Un terzo gestisce l'infrastruttura SMS di massa, operando con banche di smartphone, schede SIM e modem.

Un quarto monetizza le credenziali rubate e ricicla i fondi. I membri si coordinano apertamente su Telegram, dove si formano a vicenda, condividono strategie e reclutano nuovi partecipanti.

L'operazione Ghost Hook ha combinato una causa civile con i sequestri di infrastrutture dell'FBI

L'operazione congiunta, ribattezzata "Operation Ghost Hook", ha portato al sequestro di diversi domini admin principali, di un negozio Shopify, di circa 100.000 dollari dai wallet di pagamento di Outsider e di migliaia di domini registrati tramite provider negli Stati Uniti.

L'FBI ha persino utilizzato il bot Telegram di Outsider per accedere alle informazioni sui clienti della rete. Google ha coordinato con l'FBI e la Black Lotus Labs di Lumen Technologies per il ritiro, e sta lavorando con AT&T, T-Mobile e Verizon per bloccare i messaggi collegati a Outsider dal raggiungere i clienti. Google ha dichiarato che le sue difese basate sull'IA intercettano più di 10 miliardi di messaggi di truffa al mese.

Il caso è la seconda azione importante di Google contro il phishing-as-a-service basato in Cina in sette mesi. Come ha riportato Cryptopolitan a maggio, il Threat Intelligence Group di Google ha individuato la prima exploit zero-day costruita con l'assistenza dell'IA, attribuita a gruppi cinesi e nordcoreani.

A novembre 2025, Google ha citato in giudizio un'operazione separata chiamata Lighthouse, che ha colpito più di 1 milione di vittime in 120 paesi e offerto oltre 600 modelli che impersonano 400 entità.

Quella causa precedente, anch'essa presentata ai sensi del RICO, ha efficacemente chiuso Lighthouse entro ore tramite un ordine restrittivo temporaneo. Il caso Outsider estende quell'approccio nell'era dell'IA, con lo strato del modello che fa il lavoro che i programmatori umani facevano per Lighthouse.