犯罪者集団がテックジャイアント（IT大手）の最先端AIを逆手に取り、それをユーザーを騙す道具に変えた時、そこに生まれるのは全く新しいタイプのデジタル脅威です。本稿では、「PhaaS（Phishing-as-a-Service：サービスとしてのフィッシング）」と呼ばれる彼らの分業制ビジネスモデルから、気になる被害規模と日米官民連携の舞台裏まで、日本人が今知っておくべきポイントを深掘りします。

「スマホに届く詐欺SMS」が工業製品化された日

今回のGoogleの提訴内容が従来のサイバー犯罪と一線を画すのは、ハッカー個人の犯行ではなく、まるでシリコンバレーのスタートアップのように洗練された「分業制ネットワーク」によって運営されていた点です。訴訟文書によれば、アウトサイダー・エンタープライズは、詐欺行為を効率的に回すための5つの専門部隊で構成されていました 。

• 開発者（Developer）: キットの心臓部を開発。AIを使った偽サイト自動生成ツールや、顧客管理用のTelegramボット、そして被害者のキー入力をリアルタイムで盗み取る「キーロガー」などを実装していた。
• データブローカー（Data Broker）: 攻撃の原材料を調達。電話番号や個人情報といった、闇市場で取引される消費者データをスパマーに供給していた。
• スパマー（Spammer）: 配信部隊。特にAndroidユーザーを標的に、米国内の電話番号へ数百万件もの詐欺SMSを一斉送信するインフラを運用していた。
• 窃取（Theft）: 組織の“財務”担当。盗まれたログイン情報やクレジットカード番号を受け取り、仕分けし、現金化するバックエンドシステムを管理していた経済の要。
• Telegram（販売・サポート）: 犯罪の“店舗兼窓口”。すべての営業とカスタマーサポートは、Telegram上の専用ボットを介して完全自動化されていた。

なぜGeminiは「騙された」のか？　悪意のプロンプト偽装術

最も憂慮すべきは、生成AIの組織的かつ悪質な“悪用法”です。犯罪者たちは、AIの高いコーディング能力を悪用するために、プロンプトを「無害な質問」に見せかけるよう指示されていました 。

例えば、あるメンバーはGeminiに「テック企業のログインページを作成して」とか「カスタマーサポートのポータルサイトを構築して」などと、一見すると何の問題もないウェブ開発依頼を送ります。その結果として出力されるHTMLやCSS、JavaScriptコードは、そのまま偽のドメインにホスティングされ、Google、YouTube、USPS（米国郵政公社）などをかたる精巧な偽サイトへと変貌しました 。この手法は、コーディング知識ゼロの犯罪者でも、大規模なフィッシング詐欺を一瞬で立ち上げられることを意味します。

犯罪のサブスク化：Telegramで売られる「週88ドルの詐欺ツール」

アウトサイダー・エンタープライズの“商品”は、まるで動画配信サービスのように気軽に購入できるサブスクリプション型犯罪ツールでした。その自動販売プラットフォームであるTelegramボットを通じて、犯罪者は高度なフィッシング攻撃を瞬時に開始できました 。

訴訟で明らかになった「Outsider」キットの主な“サービス内容”は以下の通りです。

• 週額サブスクリプション: このPhaaSキットの利用料金は、週88ドル（日本円で約1万3,000円）からと破格の安さで提供されていました 。
• 290種類以上のテンプレート: 米国の主要銀行、政府機関、携帯キャリア、E-ZPass（高速道路料金自動支払いシステム）など、あらゆるブランドや公共サービスになりすますための「既製品」偽ページが用意されていました 。
• キーロガー標準搭載: 偽ページに埋め込まれたスクリプトが、ユーザーのキーボード入力をすべて記録し、パスワードなどをリアルタイムで窃取しました 。
• キャンペーンダッシュボード: 送信数、リンククリック数、そして「何人のログイン情報を盗めたか」といったリアルタイムの成果指標を、顧客が管理画面でモニタリングできました 。

もはや「イタズラ」の域ではない：可視化された被害実態

訴状が明らかにした被害の実数は、私たち一般人が想像する「迷惑メール」のレベルをはるかに超えています。これは巨大な産業的窃盗です。

• 10万人以上の被害者が、直接的に詐欺のターゲットになりました 。
• 金銭的被害総額は**数百万ドル（数億円規模）**にのぼると推定されています 。
• 信頼できるブランドに偽装するために作成された偽サイトの数は、実に9,000件以上 。
• 彼らが生成した不正なURLは159万件を超えていました 。
• わずか2週間という短期間に、Androidユーザーを狙って250万件もの悪意あるSMSがアメリカ中にばらまかれました。なお、流出したクレジットカードだけでも世界95カ国・36,000枚以上に達したと報告されています 。

Googleの本気：FBIとキャリアが連携した「包囲網」

この未曾有の脅威に対し、Googleの対応は単なる訴訟提起にとどまりませんでした。FBIや巨大通信キャリアを巻き込んだ、多層的な“反撃”が展開されました。

• 民事訴訟（RICO法の適用）: 2026年6月12日に提起された訴訟では、ネットワークのインフラを解体するための差止命令が求められています。Googleはこのケースに、マフィアなどの組織犯罪を取り締まるためのRICO法（Racketeer Influenced and Corrupt Organizations Act）、商標権を保護するランハム法、およびコンピュータ詐欺および不正行為防止法を適用し、犯罪組織としての側面を強く非難しています 。
• 通信キャリアとの防御壁: Googleは、AT&T、T-Mobile、Verizonという米国3大キャリアと直接協力し、怪しい詐欺SMSがユーザーのスマホに届く前に、ネットワークの入り口で遮断する仕組みを実現しました 。
• FBIによる強制捜査（オペレーション・ゴーストフック）: 連邦捜査局（FBI）は刑事事件として捜査に乗り出し、「Operation Ghost Hook（オペレーション・ゴーストフック）」というコードネームの作戦のもと、不正ドメインの差し押さえや10万ドルを超える犯罪収益の没収を実行しました。Googleは声明で「FBIと連携し、彼らが法執行措置を取ることになっている」と明言しています 。

Googleは今回の異例の強硬措置に加え、ジョシュ・ハーダー下院議員の「Stop SCAMS Act（詐欺被害防止法案）」のような、AI時代に即した連邦法の整備も強く推進する姿勢を示しています。これは、生成AIの悪用という新たな脅威に対する、一企業の枠を超えた「社会インフラ防衛戦」の幕開けと言えるでしょう 。

AIの商用化が加速するからこそ、私たち一般人も「サブスク型犯罪」という新しいリスクに備えなければなりません。特に、身に覚えのない「荷物の不在通知」や「高速料金の未払い請求」をかたるSMSには、決して安易にリンクをタップしないことが、まず最善の自己防衛となります。

犯罪者集団がテックジャイアント（IT大手）の最先端AIを逆手に取り、それをユーザーを騙す道具に変えた時、そこに生まれるのは全く新しいタイプのデジタル脅威です。本稿では、「PhaaS（Phishing-as-a-Service：サービスとしてのフィッシング）」と呼ばれる彼らの分業制ビジネスモデルから、気になる被害規模と日米官民連携の舞台裏まで、日本人が今知っておくべきポイントを深掘りします。

「スマホに届く詐欺SMS」が工業製品化された日

今回のGoogleの提訴内容が従来のサイバー犯罪と一線を画すのは、ハッカー個人の犯行ではなく、まるでシリコンバレーのスタートアップのように洗練された「分業制ネットワーク」によって運営されていた点です。訴訟文書によれば、アウトサイダー・エンタープライズは、詐欺行為を効率的に回すための5つの専門部隊で構成されていました 。

• 開発者（Developer）: キットの心臓部を開発。AIを使った偽サイト自動生成ツールや、顧客管理用のTelegramボット、そして被害者のキー入力をリアルタイムで盗み取る「キーロガー」などを実装していた。
• データブローカー（Data Broker）: 攻撃の原材料を調達。電話番号や個人情報といった、闇市場で取引される消費者データをスパマーに供給していた。
• スパマー（Spammer）: 配信部隊。特にAndroidユーザーを標的に、米国内の電話番号へ数百万件もの詐欺SMSを一斉送信するインフラを運用していた。
• 窃取（Theft）: 組織の“財務”担当。盗まれたログイン情報やクレジットカード番号を受け取り、仕分けし、現金化するバックエンドシステムを管理していた経済の要。
• Telegram（販売・サポート）: 犯罪の“店舗兼窓口”。すべての営業とカスタマーサポートは、Telegram上の専用ボットを介して完全自動化されていた。

なぜGeminiは「騙された」のか？　悪意のプロンプト偽装術

最も憂慮すべきは、生成AIの組織的かつ悪質な“悪用法”です。犯罪者たちは、AIの高いコーディング能力を悪用するために、プロンプトを「無害な質問」に見せかけるよう指示されていました 。

例えば、あるメンバーはGeminiに「テック企業のログインページを作成して」とか「カスタマーサポートのポータルサイトを構築して」などと、一見すると何の問題もないウェブ開発依頼を送ります。その結果として出力されるHTMLやCSS、JavaScriptコードは、そのまま偽のドメインにホスティングされ、Google、YouTube、USPS（米国郵政公社）などをかたる精巧な偽サイトへと変貌しました 。この手法は、コーディング知識ゼロの犯罪者でも、大規模なフィッシング詐欺を一瞬で立ち上げられることを意味します。

犯罪のサブスク化：Telegramで売られる「週88ドルの詐欺ツール」

アウトサイダー・エンタープライズの“商品”は、まるで動画配信サービスのように気軽に購入できるサブスクリプション型犯罪ツールでした。その自動販売プラットフォームであるTelegramボットを通じて、犯罪者は高度なフィッシング攻撃を瞬時に開始できました 。

訴訟で明らかになった「Outsider」キットの主な“サービス内容”は以下の通りです。

• 週額サブスクリプション: このPhaaSキットの利用料金は、週88ドル（日本円で約1万3,000円）からと破格の安さで提供されていました 。
• 290種類以上のテンプレート: 米国の主要銀行、政府機関、携帯キャリア、E-ZPass（高速道路料金自動支払いシステム）など、あらゆるブランドや公共サービスになりすますための「既製品」偽ページが用意されていました 。
• キーロガー標準搭載: 偽ページに埋め込まれたスクリプトが、ユーザーのキーボード入力をすべて記録し、パスワードなどをリアルタイムで窃取しました 。
• キャンペーンダッシュボード: 送信数、リンククリック数、そして「何人のログイン情報を盗めたか」といったリアルタイムの成果指標を、顧客が管理画面でモニタリングできました 。

もはや「イタズラ」の域ではない：可視化された被害実態

訴状が明らかにした被害の実数は、私たち一般人が想像する「迷惑メール」のレベルをはるかに超えています。これは巨大な産業的窃盗です。

• 10万人以上の被害者が、直接的に詐欺のターゲットになりました 。
• 金銭的被害総額は**数百万ドル（数億円規模）**にのぼると推定されています 。
• 信頼できるブランドに偽装するために作成された偽サイトの数は、実に9,000件以上 。
• 彼らが生成した不正なURLは159万件を超えていました 。
• わずか2週間という短期間に、Androidユーザーを狙って250万件もの悪意あるSMSがアメリカ中にばらまかれました。なお、流出したクレジットカードだけでも世界95カ国・36,000枚以上に達したと報告されています 。

Googleの本気：FBIとキャリアが連携した「包囲網」

この未曾有の脅威に対し、Googleの対応は単なる訴訟提起にとどまりませんでした。FBIや巨大通信キャリアを巻き込んだ、多層的な“反撃”が展開されました。

• 民事訴訟（RICO法の適用）: 2026年6月12日に提起された訴訟では、ネットワークのインフラを解体するための差止命令が求められています。Googleはこのケースに、マフィアなどの組織犯罪を取り締まるためのRICO法（Racketeer Influenced and Corrupt Organizations Act）、商標権を保護するランハム法、およびコンピュータ詐欺および不正行為防止法を適用し、犯罪組織としての側面を強く非難しています 。
• 通信キャリアとの防御壁: Googleは、AT&T、T-Mobile、Verizonという米国3大キャリアと直接協力し、怪しい詐欺SMSがユーザーのスマホに届く前に、ネットワークの入り口で遮断する仕組みを実現しました 。
• FBIによる強制捜査（オペレーション・ゴーストフック）: 連邦捜査局（FBI）は刑事事件として捜査に乗り出し、「Operation Ghost Hook（オペレーション・ゴーストフック）」というコードネームの作戦のもと、不正ドメインの差し押さえや10万ドルを超える犯罪収益の没収を実行しました。Googleは声明で「FBIと連携し、彼らが法執行措置を取ることになっている」と明言しています 。

Googleは今回の異例の強硬措置に加え、ジョシュ・ハーダー下院議員の「Stop SCAMS Act（詐欺被害防止法案）」のような、AI時代に即した連邦法の整備も強く推進する姿勢を示しています。これは、生成AIの悪用という新たな脅威に対する、一企業の枠を超えた「社会インフラ防衛戦」の幕開けと言えるでしょう 。

AIの商用化が加速するからこそ、私たち一般人も「サブスク型犯罪」という新しいリスクに備えなければなりません。特に、身に覚えのない「荷物の不在通知」や「高速料金の未払い請求」をかたるSMSには、決して安易にリンクをタップしないことが、まず最善の自己防衛となります。