Google a déposé une plainte contre Outsider Enterprise, un réseau de cybercriminalité basé en Chine, accusé d’orchestrer une opération d’hameçonnage propulsée par l’IA qui ciblait des utilisateurs Android via des messages texte et de faux sites web. La société affirme que le groupe a utilisé l’IA Gemini de Google pour créer des sites frauduleux usurpant Google, YouTube et des agences gouvernementales, en exploitant un modèle d’hameçonnage en tant que service via Telegram. Google a déclaré que le réseau était lié à 9 000 faux sites web, plus de 1 million d’URL frauduleuses, et 2,5 millions de messages texte envoyés à des utilisateurs Android, avec environ 55 000 SMS indésirables signalés sur une période de deux semaines en mai. Cette affaire marque le premier cas dans lequel Google a engagé une action en justice directe contre un groupe accusé d’utiliser Gemini dans le cadre d’un déroulé de fraude. La plainte met en lumière le passage de préoccupations abstraites sur les mésusages de l’IA à des opérations de fraude documentées, alors que les outils d’IA générative abaissent les barrières techniques pour les criminels cherchant à déployer à grande échelle des campagnes d’hameçonnage.
Outsider Enterprise a opéré un hameçonnage en tant que service via Telegram
Google a déclaré que le groupe opérait via Telegram et proposait aux criminels des outils d’hameçonnage en tant que service, sans qu’ils aient besoin de compétences techniques avancées. Le réseau fournirait, selon les allégations, des instructions pour utiliser l’IA Gemini de Google afin de construire des sites frauduleux imitant Google, YouTube et des agences gouvernementales, y compris le système E-ZPass de l’État de New York.
Google a déclaré que le groupe proposait près de 300 modèles d’arnaques et était lié à 9 000 faux sites web et plus de 1 million d’URL frauduleuses. La campagne a entraîné l’envoi de plus de 2,5 millions de messages texte à des utilisateurs Android, dont environ 55 000 SMS indésirables signalés pendant une période de deux semaines en mai.
Les messages avertissaient souvent les utilisateurs de problèmes de compte, d’irrégularités de colis, de paiements de péage ou d’autres affirmations urgentes. Les victimes qui cliquaient sur les liens étaient redirigées vers de faux sites web conçus pour paraître légitimes, où les attaquants tentaient de voler des informations personnelles, des identifiants bancaires et des informations de paiement.
L’IA Gemini aurait été utilisée pour générer des sites frauduleux à grande échelle
L’utilisation alléguée de l’IA générative change l’économie de l’hameçonnage. Les pages de fraude qui nécessitaient autrefois un travail de conception manuel peuvent désormais être produites plus rapidement, adaptées à différentes marques et déployées via des modèles prêts à l’emploi. Cela abaisse la barrière pour des criminels moins techniques et permet aux réseaux d’arnaque de faire évoluer leurs campagnes sur des milliers d’URL.
Pour les entreprises technologiques, l’affaire met aussi en évidence une tension produit difficile. Les systèmes d’IA sont conçus pour suivre des instructions et produire des résultats soignés, mais ces mêmes capacités peuvent être détournées pour créer des sites web frauduleux convaincants, des messages de service client et des pages d’usurpation de marque. Des garde-fous plus stricts peuvent réduire les abus, mais les attaquants cherchent souvent des prompts indirects, la réutilisation de modèles ou des workflows externes qui contournent la détection.
Google coordonne avec le FBI et les opérateurs télécom pour bloquer les messages malveillants
Google a déclaré travailler avec la division cybercriminalité du FBI dans le cadre d’une enquête criminelle parallèle et avoir également coordonné avec AT&T, Verizon et T-Mobile afin de bloquer les messages texte malveillants liés à la campagne.
La société a aussi mis en avant ses propres défenses produit. Google a déclaré que ses outils de messagerie interceptent plus de 10 milliards de messages malveillants chaque mois, tandis que la détection des arnaques sur Android peut signaler des appels et des contacts suspects en temps réel. Ces défenses peuvent avoir limité le nombre de tentatives d’hameçonnage réussies, même si Google n’a pas estimé la somme d’argent volée via les campagnes d’Outsider Enterprise.
Le défi, c’est que les opérateurs du groupe restent non identifiés. Même si des noms sont finalement établis, l’application des mesures devient plus difficile lorsque les auteurs présumés se trouvent en dehors des États-Unis. Google peut poursuivre des domaines frauduleux, des comptes Telegram, des infrastructures d’hébergement et des actifs associés, mais l’opération sous-jacente peut se déplacer vers de nouvelles marques, de nouveaux domaines ou de nouveaux canaux de diffusion.
« Les criminels utilisent de plus en plus l’IA pour rendre des fraudes comme celle-ci plus convaincantes et plus difficiles à détecter », a déclaré Brett Leatherman de la division Cyber du FBI.
Google soutient une législation fédérale visant les arnaques assistées par l’IA
Google utilise la plainte pour renouveler son soutien à une législation fédérale visant les arnaques assistées par l’IA, la manipulation de marché et la sensibilisation du public. La société a soutenu plusieurs propositions transpartisanes, dont le National Strategy for Combating Scams Act, le Strategic Task Force on Scam Prevention Act, l’AI Plan Act et le Stop SCAMS Against Seniors Act.
La majeure partie de la législation proposée ferait en sorte que des agences fédérales coordonnent plus étroitement la fraude rendue possible par l’IA, mettent en place des groupes de travail, ou améliorent l’éducation du public autour des usages malveillants de l’IA. Cette approche reflète une perception croissante selon laquelle la prévention de la fraude ne peut pas reposer uniquement sur la modération privée des plateformes ou sur des poursuites judiciaires a posteriori.
Le problème politique plus large est que les arnaques générées par l’IA deviendront plus difficiles à identifier au fur et à mesure que les modèles s’amélioreront. Les campagnes de sensibilisation peuvent aider les utilisateurs à reconnaître des tactiques courantes, mais les attaquants continueront probablement à affiner leurs messages, leurs pages et leurs techniques d’usurpation. Cela laisse de grandes entreprises technologiques confrontées à une double contrainte : développer des produits d’IA que les gens ont envie d’utiliser, tout en empêchant ces mêmes outils de devenir l’infrastructure de fraudes industrielles à grande échelle.
FAQ
Qu’a accusé Google de faire à Outsider Enterprise ?
Google a accusé Outsider Enterprise, un réseau de cybercriminalité basé en Chine, de diriger une opération d’hameçonnage propulsée par l’IA qui utilisait l’IA Gemini de Google pour créer de faux sites web usurpant Google, YouTube et des agences gouvernementales. Le groupe aurait opéré un modèle d’hameçonnage en tant que service via Telegram, fournissant près de 300 modèles d’arnaques à des criminels. Google a déclaré que le réseau était lié à 9 000 faux sites web, plus de 1 million d’URL frauduleuses et 2,5 millions de messages texte envoyés à des utilisateurs Android.
Comment Google travaille-t-il pour perturber l’opération d’hameçonnage ?
Google a déclaré travailler avec la division cybercriminalité du FBI dans le cadre d’une enquête criminelle parallèle et avoir coordonné avec AT&T, Verizon et T-Mobile pour bloquer les messages texte malveillants liés à la campagne. La société a aussi indiqué que ses outils de messagerie interceptent plus de 10 milliards de messages malveillants chaque mois, et que la détection des arnaques sur Android peut signaler des appels et des contacts suspects en temps réel. Google poursuit des domaines frauduleux, des comptes Telegram et des infrastructures d’hébergement associées au réseau.
Quelle législation fédérale Google soutient-il pour lutter contre les arnaques assistées par l’IA ?
Google a soutenu plusieurs propositions transpartisanes, dont le National Strategy for Combating Scams Act, le Strategic Task Force on Scam Prevention Act, l’AI Plan Act et le Stop SCAMS Against Seniors Act. La majeure partie de la législation proposée ferait en sorte que des agences fédérales coordonnent plus étroitement la fraude rendue possible par l’IA, mettent en place des groupes de travail, ou améliorent l’éducation du public autour des usages malveillants de l’IA.
