Google processa rede chinesa que usou IA para aplicar megagolpe global por SMS

O Google abriu um processo para tentar desmantelar o que descreve como uma das maiores operações de cibercrime movidas a inteligência artificial já identificadas pela empresa. Segundo a companhia, a rede, batizada de Outsider Enterprise, usou IA para enviar em massa mensagens de texto que imitavam comunicações do próprio Google e de outras marcas, com o objetivo de roubar senhas, códigos de autenticação e dados de cartões de crédito.

De acordo com o Google, a atuação do grupo já afetou centenas de milhares de pessoas ao redor do mundo, com prejuízos estimados na casa dos milhões de dólares. A empresa afirma que os criminosos montaram uma infraestrutura com cerca de 9 mil sites falsos e mais de 1 milhão de domínios fraudulentos, além de disparar aproximadamente 2,5 milhões de SMS em apenas duas semanas para usuários de Android.

Em comunicado, o Google informou que usuários do Android sinalizaram 55 mil mensagens de spam em um período de duas semanas em maio, o que equivale a mais de duas reclamações de SMS suspeito por minuto. A companhia diz que está usando ferramentas baseadas em IA para identificar esse tipo de golpe, bloquear mensagens e avisar usuários, e afirma conseguir interceptar mais de 10 bilhões de mensagens fraudulentas por mês.

A empresa afirma ainda que vem trabalhando em conjunto com as operadoras AT&T, T Mobile e Verizon para bloquear o tráfego de SMS maliciosos associados à Outsider Enterprise. O Google também declarou que está coordenando ações com o FBI, que confirmou ter apreendido domínios usados pelo grupo, além de lojas na Shopify e contas ligadas ao serviço de phishing oferecido pelos criminosos.

Segundo o FBI, a plataforma de phishing da Outsider Enterprise, em operação desde pelo menos julho de 2023, permitiu o roubo de cerca de 3,87 milhões de cartões de crédito, resultando em perdas estimadas em 1,9 bilhão de dólares. Para ilustrar o impacto, autoridades apontam que milhares de cartões foram emitidos por instituições financeiras em 95 países.

No processo, o Google detalha como a Outsider Enterprise construiu um pacote de software voltado a criminosos, um serviço pronto para uso que permite criar e administrar sites de phishing mesmo sem conhecimento técnico avançado. O kit, chamado Outsider, seria vendido por 88 dólares por semana ou 200 dólares por mês e usa plataformas de IA, incluindo o Gemini do próprio Google, para auxiliar na criação de páginas falsas que imitam serviços de telefonia, bancos, órgãos públicos e grandes varejistas.

A estratégia descrita pelo Google combina automação e colaboração entre diferentes grupos dentro da operação. Há equipes responsáveis por desenvolver e manter o software e os modelos de sites, outras especializadas em montar listas de potenciais vítimas a partir de dados públicos, redes sociais e vazamentos, além de um núcleo voltado ao disparo em massa de SMS com infraestrutura dedicada, como bancos de smartphones, chips e modems, e um grupo focado em monetizar as credenciais roubadas e lavar o dinheiro obtido.

O processo afirma que a plataforma Outsider oferece mais de 290 modelos prontos que replicam sites legítimos em poucos minutos, juntamente com tutoriais para explorar código gerado por IA e um painel para acompanhar em tempo real o desempenho das campanhas de phishing. O Google diz ainda que os criminosos utilizavam serviços como Google Drive e Google Cloud para hospedar parte dos sites de phishing, explorando a confiança em domínios da empresa para tornar os golpes mais convincentes.

Entre novembro de 2025 e abril de 2026, o Google afirma ter detectado mais de 1,59 milhão de URLs relacionadas à Outsider Enterprise, o que dá uma dimensão do alcance da operação. Em canais no Telegram, integrantes do grupo teriam trocado abertamente dicas, materiais de treinamento e estratégias para melhorar as campanhas, em conversas pouco codificadas que, segundo o Google, mostram a confiança dos criminosos na eficácia e no anonimato do esquema.

Na ação judicial, o Google acusa os responsáveis pela Outsider Enterprise de usar indevidamente sua marca, violar direitos autorais, praticar atividades de extorsão e associação criminosa, além de cometer fraude eletrônica e publicidade enganosa. A empresa pede indenizações compensatórias e punitivas, além de uma ordem judicial que impeça a continuidade da operação e permita desativar de forma mais ampla a infraestrutura ligada ao grupo.