Google ha presentado una demanda contra Outsider Enterprise, una red de ciberdelincuencia con sede en China, acusada de operar una campaña de phishing impulsada por IA que dirigió a usuarios de Android mediante mensajes de texto y sitios web falsos. La empresa alega que el grupo utilizó la IA Gemini de Google para crear sitios web fraudulentos que suplantaban a Google, YouTube y organismos gubernamentales, operando un modelo de phishing como servicio a través de Telegram. Google dijo que la red estaba vinculada a 9.000 sitios web falsos, más de 1 millón de URL fraudulentas y 2,5 millones de mensajes de texto enviados a usuarios de Android, con aproximadamente 55.000 textos de spam marcados durante un periodo de dos semanas en mayo. Este es el primer caso en el que Google ha emprendido una acción legal directa contra un grupo acusado de usar Gemini como parte de un flujo de estafa. La demanda subraya el cambio de las preocupaciones abstractas sobre el mal uso de la IA hacia operaciones de fraude documentadas, ya que las herramientas de IA generativa reducen las barreras técnicas para los delincuentes que buscan escalar campañas de phishing.
Outsider Enterprise Operó el Phishing como Servicio vía Telegram
Google dijo que el grupo operaba a través de Telegram y ofrecía herramientas de phishing como servicio a criminales que no necesitaban habilidades técnicas avanzadas. La red supuestamente proporcionó instrucciones para usar la IA Gemini de Google para construir sitios web fraudulentos que imitaban a Google, YouTube y organismos gubernamentales, incluido el sistema E-ZPass del estado de Nueva York.
Google dijo que el grupo ofreció casi 300 plantillas de estafa y estaba vinculado a 9.000 sitios web falsos y a más de 1 millón de URL fraudulentas. La campaña dio como resultado que se enviaran más de 2,5 millones de mensajes de texto a usuarios de Android, incluidos aproximadamente 55.000 textos de spam marcados durante un periodo de dos semanas en mayo.
Los mensajes a menudo advertían a los usuarios sobre problemas de cuenta, incidencias de paquetes, pagos de peajes u otras reclamaciones urgentes. Las víctimas que hicieron clic en los enlaces fueron enviadas a sitios web falsos diseñados para parecer legítimos, donde los atacantes intentaron robar información personal, datos bancarios y credenciales de pago.
Supuestamente se Usó Gemini AI para Generar Sitios Web Fraudulentos a Escala
El presunto uso de IA generativa cambia la economía del phishing. Las páginas de fraude que antes requerían trabajo de diseño manual ahora pueden producirse más rápido, adaptarse entre marcas y desplegarse mediante plantillas ya listas. Esto reduce la barrera para criminales menos técnicos y permite que las redes de estafa escalen campañas a través de miles de URL.
Para las empresas tecnológicas, el caso también pone de relieve una tensión difícil del producto. Los sistemas de IA se construyen para seguir instrucciones y generar salidas pulidas, pero esas mismas capacidades pueden usarse mal para producir sitios web falsos convincentes, mensajes de atención al cliente y páginas de suplantación de marca. Las vallas de seguridad más fuertes pueden reducir el abuso, pero los atacantes a menudo buscan indicaciones indirectas, reutilización de plantillas o flujos de trabajo externos que eludan la detección.
Google Coordina con el FBI y las Operadoras de Telecomunicaciones para Bloquear Mensajes Maliciosos
Google dijo que está trabajando con la división de ciberdelincuencia del FBI en una investigación criminal paralela y que también coordinó con AT&T, Verizon y T-Mobile para bloquear mensajes de texto maliciosos vinculados a la campaña.
La empresa también señaló sus propias defensas de producto. Google dijo que sus herramientas de mensajería interceptan más de 10.000 millones de mensajes maliciosos cada mes, mientras que la detección de estafas en Android puede marcar llamadas y contactos sospechosos en tiempo real. Esas defensas pueden haber limitado la cantidad de intentos de phishing exitosos, aunque Google no estimó cuánto dinero se robó a través de las campañas de Outsider Enterprise.
El desafío es que los operadores del grupo siguen sin ser identificados. Incluso si los nombres se establecen finalmente, la aplicación de la ley se vuelve más difícil cuando los presuntos perpetradores están fuera de Estados Unidos. Google puede perseguir dominios fraudulentos, cuentas de Telegram, infraestructura de alojamiento y activos relacionados, pero la operación subyacente puede desplazarse hacia nuevas marcas, nuevos dominios o canales de entrega distintos.
“Los criminales usan cada vez más la IA para que el fraude como este sea más convincente y difícil de detectar”, dijo Brett Leatherman, de la División Cibernética del FBI.
Google Respald[a] Legislación Federal para Enfrentar Estafas Asistidas por IA
Google está usando la demanda para renovar su apoyo a la legislación federal destinada a estafas asistidas por IA, manipulación de mercado y concienciación pública. La empresa ha respaldado varias propuestas bipartidistas, incluyendo la National Strategy for Combating Scams Act, la Strategic Task Force on Scam Prevention Act, la AI Plan Act y la Stop SCAMS Against Seniors Act.
La mayor parte de la legislación propuesta indicaría a las agencias federales que coordinen más estrechamente en fraudes habilitados por IA, establezcan fuerzas de tarea o mejoren la educación pública sobre usos maliciosos de la IA. Ese enfoque refleja una visión creciente de que la prevención del fraude no puede gestionarse únicamente mediante moderación privada en plataformas o demandas posteriores a los hechos.
El problema de política más amplio es que las estafas generadas por IA se volverán más difíciles de identificar a medida que los modelos mejoren. Las campañas de concienciación pueden ayudar a los usuarios a reconocer tácticas comunes, pero es probable que los atacantes sigan refinando mensajes, páginas y técnicas de suplantación. Eso deja a las grandes empresas tecnológicas enfrentando una carga doble: construir productos de IA que la gente quiera usar mientras se evita que esas mismas herramientas se conviertan en infraestructura para el fraude a escala industrial.
FAQ
¿De qué acusó Google a Outsider Enterprise?
Google acusó a Outsider Enterprise, una red de ciberdelincuencia con base en China, de ejecutar una operación de phishing impulsada por IA que usó Gemini AI de Google para crear sitios web falsos que suplantaban a Google, YouTube y organismos gubernamentales. El grupo supuestamente operaba un modelo de phishing como servicio a través de Telegram, proporcionando casi 300 plantillas de estafa a criminales. Google dijo que la red estaba vinculada a 9.000 sitios web falsos, más de 1 millón de URL fraudulentas y 2,5 millones de mensajes de texto enviados a usuarios de Android.
¿Cómo está trabajando Google para interrumpir la operación de phishing?
Google dijo que está trabajando con la división de ciberdelincuencia del FBI en una investigación criminal paralela y que ha coordinado con AT&T, Verizon y T-Mobile para bloquear mensajes de texto maliciosos vinculados a la campaña. La empresa también afirmó que sus herramientas de mensajería interceptan más de 10.000 millones de mensajes maliciosos cada mes, y que la detección de estafas en Android puede marcar llamadas y contactos sospechosos en tiempo real. Google está persiguiendo dominios fraudulentos, cuentas de Telegram y la infraestructura de alojamiento asociada con la red.
¿Qué legislación federal apoya Google para combatir las estafas asistidas por IA?
Google ha respaldado varias propuestas bipartidistas, incluyendo la National Strategy for Combating Scams Act, la Strategic Task Force on Scam Prevention Act, la AI Plan Act y la Stop SCAMS Against Seniors Act. La mayor parte de la legislación propuesta indicaría a las agencias federales que coordinen más estrechamente en fraudes habilitados por IA, establezcan fuerzas de tarea o mejoren la educación pública sobre usos maliciosos de la IA.
