Google processa rede chinesa que usou Gemini para impulsionar golpes de phishing em massa
O Google abriu um processo judicial contra uma rede de cibercrime com base na China, acusada de explorar o modelo de IA Gemini para potencializar grandes campanhas de phishing e golpes por mensagens direcionados a consumidores nos Estados Unidos. A iniciativa marca um dos primeiros casos em que uma grande big tech leva formalmente à Justiça o uso indevido de sua IA generativa em esquemas criminosos organizados.
O grupo investigado foi identificado como Outsider Enterprise. De acordo com a ação, essa estrutura operava no modelo de “phishing como serviço”: em vez de realizar os golpes diretamente, oferecia a outros criminosos kits completos e prontos para uso, facilitando a criação de páginas falsas, a automação de fraudes e a imitação detalhada de marcas conhecidas.
Esses kits permitiam que afiliados montassem, em poucos minutos, páginas clonadas de serviços amplamente confiáveis. Entre os alvos citados estão o próprio Google, o YouTube, o serviço postal dos EUA (USPS), bancos e instituições financeiras, departamentos estaduais de veículos, empresas de pedágio e diversas outras organizações que inspiram confiança ao usuário comum. A ideia era usar a familiaridade visual dessas marcas para convencer vítimas a inserir credenciais, dados pessoais e informações financeiras.
Segundo o processo, a Outsider Enterprise operava canais privados em aplicativos de mensagens para coordenar afiliados, distribuir ferramentas e compartilhar atualizações sobre os golpes. Nesses espaços fechados, criminosos recebiam instruções, códigos prontos, templates de mensagens e orientações de como burlar filtros de segurança e aumentar as taxas de cliques em links maliciosos.
O ponto central que diferencia esse caso de tantos outros esquemas de phishing é o uso sistemático de IA generativa. Integrantes da rede teriam orientado seus membros a recorrer ao Gemini para gerar código personalizado de sites de phishing, alterando rapidamente layouts, formulários e elementos de rastreamento. Esses códigos produzidos por IA eram incorporados aos kits oferecidos pelo grupo, tornando o arsenal criminoso mais sofisticado e adaptável.
Com isso, a barreira técnica para entrar nesse tipo de crime foi drasticamente reduzida. Antes, a criação de páginas falsas convincentes exigia pelo menos conhecimentos básicos de programação e design. Agora, de acordo com a ação do Google, mesmo criminosos com pouca ou nenhuma experiência técnica conseguiram montar páginas visualmente profissionais, além de configurar campanhas massivas de smishing – golpes via SMS ou aplicativos de mensagem – em questão de horas.
Os números apresentados no processo ilustram o alcance da operação. Em apenas duas semanas de maio de 2026, estima-se que cerca de 2,5 milhões de mensagens fraudulentas tenham sido disparadas para usuários de Android. Muitas dessas mensagens imitavam notificações legítimas de serviços amplamente usados, como alertas de entrega de encomendas, avisos de bloqueio de conta ou supostas pendências de pagamento de pedágio.
O processo foi protocolado no Tribunal Distrital do Sul de Nova York. O Google pede indenizações financeiras e, principalmente, ordens judiciais que permitam desmantelar a infraestrutura do grupo, bloquear domínios, congelar ativos e interromper a continuidade das operações. A ação se apoia em legislações como o RICO (voltado ao combate ao crime organizado) e o Lanham Act (que protege marcas registradas contra uso indevido e confusão do consumidor).
Paralelamente, o FBI conduz investigações criminais envolvendo os mesmos suspeitos, buscando identificar operadores-chave, fluxos de dinheiro e possíveis conexões com outras redes internacionais de fraude. Grandes operadoras de telecomunicações, como AT&T, T-Mobile e Verizon, também colaboram com o bloqueio de mensagens identificadas como maliciosas, ajustando filtros, regras de roteamento e sistemas de detecção em tempo quase real.
Esse caso joga luz sobre uma tendência preocupante: a mesma IA que fortalece ferramentas de defesa cibernética também é rapidamente incorporada por criminosos para sofisticar ataques. Modelos generativos podem ser usados para escrever textos de phishing sem erros gramaticais, adaptar o discurso à linguagem local, personalizar abordagens por público-alvo e até simular chats “ao vivo” com vítimas, tornando a fraude mais convincente.
Ao mesmo tempo, a ação do Google sinaliza que as empresas de tecnologia pretendem reagir não apenas com medidas técnicas, mas também com estratégias legais e políticas. A mensagem é clara: usar ferramentas de IA de forma fraudulenta, mesmo por meio de contas falsas ou intermediários, pode resultar em ações judiciais pesadas e cooperação com autoridades internacionais.
Para o usuário comum, o episódio reforça uma lição essencial: a aparência profissional de um site ou mensagem não é garantia de legitimidade. Com o apoio da IA, golpistas conseguem criar páginas e comunicações quase indistinguíveis das oficiais. Verificar com atenção o endereço do site, desconfiar de links enviados por SMS ou mensageiros, evitar clicar em atalhos para “regularizar pendências” e acessar serviços digitando manualmente o endereço oficial no navegador são atitudes que se tornam ainda mais importantes.
Empresas e órgãos públicos também precisarão se adaptar. Políticas de autenticação em múltiplos fatores, campanhas de conscientização continuada, verificação reforçada de domínios semelhantes (typosquatting) e monitoramento proativo de menções indevidas a marcas tornam-se peças centrais da estratégia de defesa. Na prática, será necessário combinar tecnologia, educação e governança para reduzir a superfície de ataque que esses “serviços de phishing” exploram.
Do ponto de vista da segurança ofensiva e defensiva, o caso Outsider Enterprise mostra como o crime cibernético está migrando de ações pontuais para um modelo empresarial, com divisão de funções, suporte a “clientes” (os criminosos afiliados), atualizações constantes de “produtos” e uso intensivo de automação e IA. Enfrentar esse novo cenário exige que governos, empresas de tecnologia e provedores de infraestrutura trabalhem de forma coordenada, trocando informações sobre indicadores de ataque e derrubando rapidamente a infraestrutura fraudulenta.
No longo prazo, a discussão deve ir além do aspecto jurídico e técnico. Será necessário debater limites de uso de IA, mecanismos de verificação mais robustos em plataformas de desenvolvimento e critérios de responsabilização de quem treina, fornece e explora modelos generativos. Ao mesmo tempo, será fundamental evitar respostas exageradas que inviabilizem usos legítimos da tecnologia em pesquisa, educação, negócios e inovação.
O processo movido pelo Google contra a rede chinesa não resolve, por si só, o problema do uso malicioso da IA em golpes de phishing, mas estabelece um precedente importante. Ele indica que grandes empresas estão dispostas a rastrear abusos de suas ferramentas, identificar atores mal-intencionados e buscar responsabilização em diferentes jurisdições. Para os criminosos digitais, isso significa um ambiente de risco jurídico cada vez maior; para usuários e organizações, é um passo a mais rumo a um ecossistema digital um pouco mais protegido – ainda que a batalha esteja longe do fim.