Google processa ringue de phishing de IA chinês enquanto FBI domina domínios e $100.000 na Operação Ghost Hook

Um processo federal foi apresentado pelo Google na sexta-feira contra uma rede de cibercrime baseada na China, que, segundo as autoridades, usou a IA Gemini do Google para conduzir uma campanha de phishing que agora está vinculada pelo FBI a 3,87 milhões de cartões de crédito roubados e um total de $1,9 bilhão em perdas desde julho de 2023.

A rede, que o Google chama de “Outsider Enterprise”, vendia software de phishing como uma assinatura por $88 por semana ou $200 por mês, de acordo com a queixa apresentada no tribunal federal de Manhattan.

Os compradores tiveram acesso a mais de 290 modelos de sites prontos para uso, impersonando bancos, provedores de telecomunicações, agências governamentais, empresas de transporte, departamentos estaduais de veículos (DMVs), E-ZPass de Nova York, serviços governamentais de NYC e varejistas, junto com instruções passo a passo para usar plataformas de IA para gerar páginas falsas convincentes.

O Google está perseguindo reivindicações sob a Lei de Organizações Influenciadas e Corruptas (RICO), juntamente com violação de marca registrada e uso indevido dos serviços Google Cloud e Drive.

O FBI rastreou 3,87 milhões de cartões roubados e $1,9 bilhão em perdas para uma única rede

Entre 14 de novembro de 2015 e 14 de abril de 2016, o Google sinalizou mais de 1,59 milhão de URLs associados ao serviço de phishing.

Durante um período de duas semanas em maio deste ano, usuários de Android relataram 55.000 mensagens de spam vinculadas à operação, e 2,5 milhões de dispositivos Android receberam mensagens contendo links para sites gerados pelo Outsider.

De acordo com um diretor assistente do FBI, Brett Leatherman, as perdas financeiras são “muito maiores” do que as relatadas pelo Google. A plataforma Outsider permitiu que atacantes comprometessem aproximadamente 3,87 milhões de números de cartões de crédito e resultou em perdas estimadas totalizando $1,9 bilhão desde julho de 2023.

O bureau diz que os ataques atingiram pessoas e empresas em 55 países. Os próprios cartões de pagamento foram emitidos por instituições financeiras em 95 países, de acordo com a queixa do Google.

“Criminosos estão usando cada vez mais a IA para tornar fraudes como esta mais convincentes e mais difíceis de detectar”, disse Leatherman.

Outsider vendia uma plataforma de phishing pronta para uso que roda no Telegram e Gemini

O software Outsider funciona como uma plataforma de phishing pronta para uso que não requer habilidade de codificação. Os assinantes compram acesso através de um bot do Telegram, depois usam modelos pré-construídos para criar sites falsos em minutos. A plataforma oferece painéis em tempo real, registro de teclas, colheita automatizada de credenciais e ferramentas para contornar a autenticação multifator.

De acordo com a queixa do Google, a rede distribuiu tutoriais detalhados sobre como seus membros podem usar o Gemini e outras ferramentas de IA do Google para criar HTML de sites falsos. As solicitações para o Gemini eram formuladas para parecerem solicitações de programação inofensivas para criar uma “página de resgate de presente” com recursos desejados, sem incluir JavaScript e usando CSS inline.

Uma vez que um site falso vai ao ar, o “grupo de spammer” da operação envia mensagens de texto em massa impersonando marcas confiáveis. Iscas comuns incluem pacotes perdidos, pedágios não pagos, infrações de estacionamento, problemas de conta de corretagem e recompensas de operadoras de celular.

As vítimas que clicam e inserem suas credenciais entregam dados em tempo real através do sistema de registro de teclas da plataforma.

A rede operava como uma empresa com quatro divisões especializadas

A queixa do Google descreve a Outsider Enterprise como uma organização estruturada. Um grupo desenvolve e mantém o software de phishing e os modelos.

Outro curadoria listas de alvos de registros públicos, redes sociais e violações de dados.

Um terceiro lida com a infraestrutura de SMS em massa, operando bancos de smartphones, cartões SIM e modems.

Um quarto monetiza credenciais roubadas e lava fundos. Os membros coordenam abertamente no Telegram, onde se treinam, compartilham estratégias e recrutam novos participantes.

A Operação Ghost Hook combinou um processo civil com apreensões de infraestrutura do FBI

A operação conjunta, apelidada de “Operação Ghost Hook”, resultou na apreensão de vários domínios administrativos principais, uma loja virtual Shopify, cerca de $100.000 de carteiras de pagamento do Outsider e milhares de domínios registrados através de provedores baseados nos EUA.

O FBI até usou o próprio bot do Telegram do Outsider para acessar informações sobre os clientes da rede. O Google coordenou com o FBI e a Black Lotus Labs da Lumen Technologies na remoção, e está trabalhando com AT&T, T-Mobile e Verizon para bloquear mensagens vinculadas ao Outsider de alcançar os clientes. O Google disse que suas defesas baseadas em IA interceptam mais de 10 bilhões de mensagens de fraude por mês.

O caso é a segunda grande ação do Google contra o phishing-as-a-service baseado na China em sete meses. Como relatado pela Cryptopolitan em maio, o Threat Intelligence Group do Google detectou a primeira exploração de dia zero construída com assistência de IA, atribuída a grupos chineses e norte-coreanos.

Em novembro de 2025, o Google processou uma operação separada chamada Lighthouse, que atingiu mais de 1 milhão de vítimas em 120 países e ofereceu mais de 600 modelos impersonando 400 entidades.

Aquele processo anterior, também apresentado sob a RICO, efetivamente encerrou a Lighthouse em horas por meio de uma ordem restritiva temporária. O caso Outsider estende essa abordagem para a era da IA, com a camada de modelo fazendo o trabalho que os programadores humanos faziam para a Lighthouse.