Пять винтиков одной машины: анатомия преступного синдиката

Согласно материалам дела, «Предприятие Аутсайдеров» было не хакером-одиночкой, а взаимосвязанной сетью с четким разделением труда. Вся операция держалась на пяти ключевых группах, каждая из которых выполняла свою роль в конвейере по превращению украденных данных в живые деньги :

• Разработчик (Developer): Эта группа создавала и поддерживала основной продукт — набор для фишинга «Outsider». В их задачи входили: генератор сайтов на базе ИИ, клиентский Telegram-бот, панель для отслеживания эффективности кампаний и инфраструктура для перехвата нажатий клавиш (кейлоггер), которая перехватывала учетные данные жертв в реальном времени .
• Брокер данных (Data Broker): Эти люди занимались поставкой «сырья» для целевых атак. Они приобретали и продавали украденные потребительские данные — номера телефонов и личную информацию, что позволяло злоумышленникам запускать точечные смишинговые (SMS-фишинг) кампании .
• Спамер (Spammer): Являясь своего рода отделом доставки, эта группа управляла инфраструктурой для SMS-рассылок. Именно они отвечали за массовую отправку миллионов вредоносных сообщений на телефонные номера в США, особенно фокусируясь на пользователях Android .
• Группа хищения (Theft): Финансовый двигатель всего предприятия. Эта группа управляла серверными системами, которые принимали, сортировали и, в конечном итоге, обналичивали украденные учетные данные и номера кредитных карт .
• Группа Telegram: Эта команда отвечала за полный цикл продаж и поддержки клиентов через специального Telegram-бота. Бот служил одновременно витриной, системой оформления заказов и каналом связи с покупателями нелегального сервиса .

Троянский конь для нейросети: как ИИ использовали втемную

Самой тревожной инновацией в схеме «Предприятия Аутсайдеров» стало системное злоупотребление генеративным ИИ. Преступникам не нужно было уметь программировать — достаточно было уметь правильно формулировать запросы.

Группа инструктировала своих членов использовать Gemini и другие ИИ-чат-боты для автоматического написания HTML, CSS и JavaScript-кода для поддельных сайтов. Ключевой трюк заключался в маскировке вредоносных промптов под безобидные, общие запросы на программирование . Например, хакер мог попросить Gemini «создать страницу входа для технологической компании» или «сверстать портал поддержки клиентов» — запросы, которые на первый взгляд выглядят абсолютно легитимно. Получив готовый код, мошенники размещали его на своих доменах, создавая убедительные страницы-клоны от имени Google, YouTube, государственных учреждений, банков и других известных брендов . Такой метод радикально снизил порог входа в киберпреступность и позволил злоумышленникам быстро наращивать масштабы операций.

Бизнес на преступлении: монетизация через Telegram

Синдикат работал как полноценный бизнес по подписке, где все продажи и дистрибуция шли через полностью автоматизированного бота в Telegram. Эта платформа самообслуживания сделала запуск сложной фишинговой кампании не сложнее, чем оформление подписки на Netflix .

Ключевые особенности преступного набора «Outsider»:

• Подписка: Доступ к полному комплекту для фишинга стоил $88 в неделю .
• Готовые шаблоны: Платформа предлагала более 290 шаблонов для подделки страниц банков, госорганов, мобильных операторов, Google и YouTube .
• Встроенный кейлоггер: Фишинговые страницы были напичканы кодом для записи всех нажатий клавиш, что позволяло воровать пароли в реальном времени .
• Панель управления кампанией: Клиенты могли в реальном времени отслеживать метрики: количество отправленных SMS, переходов по ссылкам и украденных аккаунтов .

Масштаб катастрофы: цифры ущерба

Масштаб предполагаемого мошенничества ошеломляет. Расследование Google и судебный иск раскрывают следующие цифры:

• Более 100 000 прямых жертв были обмануты .
• Финансовый ущерб исчисляется миллионами долларов .
• Было создано более 9 000 поддельных сайтов, маскирующихся под известные бренды .
• Сгенерировано более 1,59 миллиона вредоносных URL-адресов .
• Только за две недели мая 2026 года спамеры отправили 2,5 миллиона фишинговых SMS пользователям Android . Кроме того, были скомпрометированы данные примерно 36 000 платежных карт, выпущенных финучреждениями из 95 стран .

Скоординированный контрудар: Google, операторы связи и ФБР

Ответ на действия «Предприятия Аутсайдеров» стал примером многоуровневого воздействия, объединившего гражданские иски, блокировку на уровне сетей и федеральное уголовное преследование.

• Судебный иск: Google подал гражданский иск 12 июня 2026 года. Компания требует судебного запрета, чтобы разрушить инфраструктуру сети. Иск подан на основании Закона о коррумпированных и находящихся под влиянием рэкетиров организациях (RICO), Закона Лэнхема (о защите товарных знаков) и Закона о компьютерном мошенничестве и злоупотреблении. Это первый в истории Google иск из-за использования его ИИ-продуктов в преступных целях .
• Защита на уровне операторов: Google напрямую взаимодействовал с AT&T, T-Mobile и Verizon, чтобы идентифицировать и блокировать мошеннический трафик до того, как он достигнет абонентов .
• Федеральные правоохранители: ФБР провело собственные оперативные мероприятия, включая арест доменов и более $100 000 преступных доходов в рамках операции под кодовым названием «Операция Призрачный крюк» (Operation Ghost Hook) . Google заявила, что «координировала действия с ФБР, которое предпримет собственные правоохранительные меры» .

Агрессивная юридическая позиция Google в сочетании с лоббированием обновления федерального законодательства, такого как Stop SCAMS Act, внесенный конгрессменом Джошем Хардером, показывает, что эра преступлений с использованием ИИ столкнулась с новым порогом корпоративного и государственного реагирования .

Пять винтиков одной машины: анатомия преступного синдиката

Согласно материалам дела, «Предприятие Аутсайдеров» было не хакером-одиночкой, а взаимосвязанной сетью с четким разделением труда. Вся операция держалась на пяти ключевых группах, каждая из которых выполняла свою роль в конвейере по превращению украденных данных в живые деньги :

• Разработчик (Developer): Эта группа создавала и поддерживала основной продукт — набор для фишинга «Outsider». В их задачи входили: генератор сайтов на базе ИИ, клиентский Telegram-бот, панель для отслеживания эффективности кампаний и инфраструктура для перехвата нажатий клавиш (кейлоггер), которая перехватывала учетные данные жертв в реальном времени .
• Брокер данных (Data Broker): Эти люди занимались поставкой «сырья» для целевых атак. Они приобретали и продавали украденные потребительские данные — номера телефонов и личную информацию, что позволяло злоумышленникам запускать точечные смишинговые (SMS-фишинг) кампании .
• Спамер (Spammer): Являясь своего рода отделом доставки, эта группа управляла инфраструктурой для SMS-рассылок. Именно они отвечали за массовую отправку миллионов вредоносных сообщений на телефонные номера в США, особенно фокусируясь на пользователях Android .
• Группа хищения (Theft): Финансовый двигатель всего предприятия. Эта группа управляла серверными системами, которые принимали, сортировали и, в конечном итоге, обналичивали украденные учетные данные и номера кредитных карт .
• Группа Telegram: Эта команда отвечала за полный цикл продаж и поддержки клиентов через специального Telegram-бота. Бот служил одновременно витриной, системой оформления заказов и каналом связи с покупателями нелегального сервиса .

Троянский конь для нейросети: как ИИ использовали втемную

Самой тревожной инновацией в схеме «Предприятия Аутсайдеров» стало системное злоупотребление генеративным ИИ. Преступникам не нужно было уметь программировать — достаточно было уметь правильно формулировать запросы.

Группа инструктировала своих членов использовать Gemini и другие ИИ-чат-боты для автоматического написания HTML, CSS и JavaScript-кода для поддельных сайтов. Ключевой трюк заключался в маскировке вредоносных промптов под безобидные, общие запросы на программирование . Например, хакер мог попросить Gemini «создать страницу входа для технологической компании» или «сверстать портал поддержки клиентов» — запросы, которые на первый взгляд выглядят абсолютно легитимно. Получив готовый код, мошенники размещали его на своих доменах, создавая убедительные страницы-клоны от имени Google, YouTube, государственных учреждений, банков и других известных брендов . Такой метод радикально снизил порог входа в киберпреступность и позволил злоумышленникам быстро наращивать масштабы операций.

Бизнес на преступлении: монетизация через Telegram

Синдикат работал как полноценный бизнес по подписке, где все продажи и дистрибуция шли через полностью автоматизированного бота в Telegram. Эта платформа самообслуживания сделала запуск сложной фишинговой кампании не сложнее, чем оформление подписки на Netflix .

Ключевые особенности преступного набора «Outsider»:

• Подписка: Доступ к полному комплекту для фишинга стоил $88 в неделю .
• Готовые шаблоны: Платформа предлагала более 290 шаблонов для подделки страниц банков, госорганов, мобильных операторов, Google и YouTube .
• Встроенный кейлоггер: Фишинговые страницы были напичканы кодом для записи всех нажатий клавиш, что позволяло воровать пароли в реальном времени .
• Панель управления кампанией: Клиенты могли в реальном времени отслеживать метрики: количество отправленных SMS, переходов по ссылкам и украденных аккаунтов .

Масштаб катастрофы: цифры ущерба

Масштаб предполагаемого мошенничества ошеломляет. Расследование Google и судебный иск раскрывают следующие цифры:

• Более 100 000 прямых жертв были обмануты .
• Финансовый ущерб исчисляется миллионами долларов .
• Было создано более 9 000 поддельных сайтов, маскирующихся под известные бренды .
• Сгенерировано более 1,59 миллиона вредоносных URL-адресов .
• Только за две недели мая 2026 года спамеры отправили 2,5 миллиона фишинговых SMS пользователям Android . Кроме того, были скомпрометированы данные примерно 36 000 платежных карт, выпущенных финучреждениями из 95 стран .

Скоординированный контрудар: Google, операторы связи и ФБР

Ответ на действия «Предприятия Аутсайдеров» стал примером многоуровневого воздействия, объединившего гражданские иски, блокировку на уровне сетей и федеральное уголовное преследование.

• Судебный иск: Google подал гражданский иск 12 июня 2026 года. Компания требует судебного запрета, чтобы разрушить инфраструктуру сети. Иск подан на основании Закона о коррумпированных и находящихся под влиянием рэкетиров организациях (RICO), Закона Лэнхема (о защите товарных знаков) и Закона о компьютерном мошенничестве и злоупотреблении. Это первый в истории Google иск из-за использования его ИИ-продуктов в преступных целях .
• Защита на уровне операторов: Google напрямую взаимодействовал с AT&T, T-Mobile и Verizon, чтобы идентифицировать и блокировать мошеннический трафик до того, как он достигнет абонентов .
• Федеральные правоохранители: ФБР провело собственные оперативные мероприятия, включая арест доменов и более $100 000 преступных доходов в рамках операции под кодовым названием «Операция Призрачный крюк» (Operation Ghost Hook) . Google заявила, что «координировала действия с ФБР, которое предпримет собственные правоохранительные меры» .

Агрессивная юридическая позиция Google в сочетании с лоббированием обновления федерального законодательства, такого как Stop SCAMS Act, внесенный конгрессменом Джошем Хардером, показывает, что эра преступлений с использованием ИИ столкнулась с новым порогом корпоративного и государственного реагирования .