Індустріалізація фішингу: злочинний конвеєр із п'яти ланок

Згідно з позовом, Outsider Enterprise не була хакером-одинаком, а являла собою взаємопов'язану спеціалізовану мережу, структуровану для максимально ефективної роботи у величезних масштабах. Операція була розбита на п'ять чітких ролей, кожна з яких була частиною конвеєра, що перетворював вкрадені дані на готівку :

• Розробник (Developer): Ця група створювала та підтримувала основний продукт — PhaaS-комплект «Outsider». Їхня робота включала генератор вебсайтів з підтримкою ШІ, клієнтського Telegram-бота, панель моніторингу ефективності кампаній та інфраструктуру для запису натискань клавіш, яка фіксувала облікові дані жертв у реальному часі .
• Брокер даних (Data Broker): Ця команда постачала сировину для цільових атак. Вони купували та продавали викрадені дані споживачів — номери телефонів та особисту інформацію — дозволяючи зловмисникам запускати вузьконаправлені смішинг-кампанії .
• Спамер (Spammer): Виступаючи як відділ дистрибуції, ця група керувала інфраструктурою для надсилання SMS. Вони відповідали за масову розсилку мільйонів шахрайських текстових повідомлень на номери телефонів у США, з особливим фокусом на користувачів Android .
• Крадіжка (Theft): Це був фінансовий двигун підприємства. Група крадіжки керувала бекенд-системами, які отримували, сортували та, зрештою, переводили в готівку викрадені облікові дані та номери кредитних карток, зібрані у жертв .
• Telegram: Ця група керувала всією операцією з продажу та підтримки через спеціального Telegram-бота, який слугував одночасно і вітриною, і системою замовлень для клієнтів цього нелегального сервісу .

Використання Gemini як зброї: як маскували зловживання ШІ

Найновішим і найбільш тривожним аспектом операції Outsider Enterprise було систематичне зловживання генеративним ШІ. Злочинцям не потрібно було вміти програмувати; їм потрібно було лише знати, як правильно попросити. Угруповання наказувало своїм членам використовувати Gemini та інші чат-боти з ШІ для генерації HTML-, CSS- та JavaScript-коду для підроблених фішингових сайтів, маскуючи свої запити під нешкідливі, загальні прохання про допомогу в програмуванні . Наприклад, член угруповання міг попросити Gemini «створити сторінку входу для технологічної компанії» або «створити портал підтримки клієнтів» — запити, які на перший погляд здавалися цілком легітимними. ШІ потім видавав робочий код, який шахраї розміщували на підроблених доменах, створюючи переконливі сторінки-імітації для Google, YouTube, державних установ та інших відомих брендів . Цей метод різко знизив технічний бар'єр для злочинців, дозволивши їм швидко масштабувати свої операції.

Бізнес на злочинах: монетизація шахрайства через Telegram

Підприємство працювало як бізнес з продажу шкідливого ПЗ за підпискою, а всі продажі та розповсюдження здійснювалися через повністю автоматизованого Telegram-бота. Ця платформа самообслуговування робила запуск складної фішингової кампанії таким же простим, як підписка на стрімінговий сервіс . Ключові особливості комплекту «Outsider» включали:

• Ліцензії за підпискою: Доступ до повного PhaaS-комплекту коштував від $88 на тиждень .
• Готові шаблони: Платформа пропонувала понад 290 шаблонів для імітації, що охоплювали великі бренди, банки, державні установи та мобільних операторів .
• Вбудований кейлогер: Фішингові сторінки містили код для запису всіх натискань клавіш, збираючи облікові дані в реальному часі .
• Панель керування кампаніями: Клієнти могли відстежувати показники ефективності своїх кампаній — включно з кількістю надісланих SMS, кліків за посиланнями та викрадених облікових даних — у реальному часі .

Ціна для людей та фінансів: задокументовані збитки

Масштаб передбачуваного шахрайства приголомшує. Розслідування Google та судовий позов детально описують величезну шкоду, завдану Outsider Enterprise:

• Понад 100 000 жертв були безпосередньо ошукані .
• Фінансові втрати оцінюються в мільйони доларів .
• Угруповання створило понад 9 000 підроблених вебсайтів, що імітували відомі бренди .
• Вони згенерували понад 1,59 мільйона шахрайських URL-адрес .
• Лише за двотижневий період спамери розіслали 2,5 мільйона шкідливих SMS-повідомлень користувачам Android . Кількість викрадених платіжних карток оцінювалася у 36 000, що охоплювало фінансові установи з 95 країн .

Скоординований контрнаступ: Google, мобільні оператори та ФБР

Відповіддю на дії Outsider Enterprise стали скоординовані, багатосторонні зусилля, що поєднали цивільне судочинство із захистом на рівні мережі та діями федеральних правоохоронних органів.

• Судовий позов: Цивільний позов Google, поданий 12 червня 2026 року, вимагає судової заборони для руйнування інфраструктури мережі та поданий на підставі Закону про організації, що діють під впливом рекету та корупції (RICO), Закону Ленема та Закону про комп'ютерне шахрайство та зловживання . Це перший в історії позов Google через неправомірне використання його продуктів зі ШІ .
• Захист на рівні операторів: Google безпосередньо співпрацював з AT&T, T-Mobile та Verizon, щоб виявляти та блокувати шахрайські текстові повідомлення на рівні мережі ще до того, як вони могли досягти користувачів .
• Федеральні правоохоронні органи: ФБР провело окремі кримінально-процесуальні дії, включаючи арешт доменів та понад $100 000 доходів у рамках операції під кодовою назвою «Operation Ghost Hook» . Google заявив, що «координував дії з ФБР, яке вживатиме правоохоронних заходів» .

Агресивна юридична позиція Google у поєднанні з його наполяганням на оновленні федерального законодавства, як-от Stop SCAMS Act конгресмена Джоша Хардера, сигналізує про те, що ера злочинів на основі ШІ досягла нового рівня корпоративної та державної відповіді .

Індустріалізація фішингу: злочинний конвеєр із п'яти ланок

Згідно з позовом, Outsider Enterprise не була хакером-одинаком, а являла собою взаємопов'язану спеціалізовану мережу, структуровану для максимально ефективної роботи у величезних масштабах. Операція була розбита на п'ять чітких ролей, кожна з яких була частиною конвеєра, що перетворював вкрадені дані на готівку :

• Розробник (Developer): Ця група створювала та підтримувала основний продукт — PhaaS-комплект «Outsider». Їхня робота включала генератор вебсайтів з підтримкою ШІ, клієнтського Telegram-бота, панель моніторингу ефективності кампаній та інфраструктуру для запису натискань клавіш, яка фіксувала облікові дані жертв у реальному часі .
• Брокер даних (Data Broker): Ця команда постачала сировину для цільових атак. Вони купували та продавали викрадені дані споживачів — номери телефонів та особисту інформацію — дозволяючи зловмисникам запускати вузьконаправлені смішинг-кампанії .
• Спамер (Spammer): Виступаючи як відділ дистрибуції, ця група керувала інфраструктурою для надсилання SMS. Вони відповідали за масову розсилку мільйонів шахрайських текстових повідомлень на номери телефонів у США, з особливим фокусом на користувачів Android .
• Крадіжка (Theft): Це був фінансовий двигун підприємства. Група крадіжки керувала бекенд-системами, які отримували, сортували та, зрештою, переводили в готівку викрадені облікові дані та номери кредитних карток, зібрані у жертв .
• Telegram: Ця група керувала всією операцією з продажу та підтримки через спеціального Telegram-бота, який слугував одночасно і вітриною, і системою замовлень для клієнтів цього нелегального сервісу .

Використання Gemini як зброї: як маскували зловживання ШІ

Найновішим і найбільш тривожним аспектом операції Outsider Enterprise було систематичне зловживання генеративним ШІ. Злочинцям не потрібно було вміти програмувати; їм потрібно було лише знати, як правильно попросити. Угруповання наказувало своїм членам використовувати Gemini та інші чат-боти з ШІ для генерації HTML-, CSS- та JavaScript-коду для підроблених фішингових сайтів, маскуючи свої запити під нешкідливі, загальні прохання про допомогу в програмуванні . Наприклад, член угруповання міг попросити Gemini «створити сторінку входу для технологічної компанії» або «створити портал підтримки клієнтів» — запити, які на перший погляд здавалися цілком легітимними. ШІ потім видавав робочий код, який шахраї розміщували на підроблених доменах, створюючи переконливі сторінки-імітації для Google, YouTube, державних установ та інших відомих брендів . Цей метод різко знизив технічний бар'єр для злочинців, дозволивши їм швидко масштабувати свої операції.

Бізнес на злочинах: монетизація шахрайства через Telegram

Підприємство працювало як бізнес з продажу шкідливого ПЗ за підпискою, а всі продажі та розповсюдження здійснювалися через повністю автоматизованого Telegram-бота. Ця платформа самообслуговування робила запуск складної фішингової кампанії таким же простим, як підписка на стрімінговий сервіс . Ключові особливості комплекту «Outsider» включали:

• Ліцензії за підпискою: Доступ до повного PhaaS-комплекту коштував від $88 на тиждень .
• Готові шаблони: Платформа пропонувала понад 290 шаблонів для імітації, що охоплювали великі бренди, банки, державні установи та мобільних операторів .
• Вбудований кейлогер: Фішингові сторінки містили код для запису всіх натискань клавіш, збираючи облікові дані в реальному часі .
• Панель керування кампаніями: Клієнти могли відстежувати показники ефективності своїх кампаній — включно з кількістю надісланих SMS, кліків за посиланнями та викрадених облікових даних — у реальному часі .

Ціна для людей та фінансів: задокументовані збитки

Масштаб передбачуваного шахрайства приголомшує. Розслідування Google та судовий позов детально описують величезну шкоду, завдану Outsider Enterprise:

• Понад 100 000 жертв були безпосередньо ошукані .
• Фінансові втрати оцінюються в мільйони доларів .
• Угруповання створило понад 9 000 підроблених вебсайтів, що імітували відомі бренди .
• Вони згенерували понад 1,59 мільйона шахрайських URL-адрес .
• Лише за двотижневий період спамери розіслали 2,5 мільйона шкідливих SMS-повідомлень користувачам Android . Кількість викрадених платіжних карток оцінювалася у 36 000, що охоплювало фінансові установи з 95 країн .

Скоординований контрнаступ: Google, мобільні оператори та ФБР

Відповіддю на дії Outsider Enterprise стали скоординовані, багатосторонні зусилля, що поєднали цивільне судочинство із захистом на рівні мережі та діями федеральних правоохоронних органів.

• Судовий позов: Цивільний позов Google, поданий 12 червня 2026 року, вимагає судової заборони для руйнування інфраструктури мережі та поданий на підставі Закону про організації, що діють під впливом рекету та корупції (RICO), Закону Ленема та Закону про комп'ютерне шахрайство та зловживання . Це перший в історії позов Google через неправомірне використання його продуктів зі ШІ .
• Захист на рівні операторів: Google безпосередньо співпрацював з AT&T, T-Mobile та Verizon, щоб виявляти та блокувати шахрайські текстові повідомлення на рівні мережі ще до того, як вони могли досягти користувачів .
• Федеральні правоохоронні органи: ФБР провело окремі кримінально-процесуальні дії, включаючи арешт доменів та понад $100 000 доходів у рамках операції під кодовою назвою «Operation Ghost Hook» . Google заявив, що «координував дії з ФБР, яке вживатиме правоохоронних заходів» .

Агресивна юридична позиція Google у поєднанні з його наполяганням на оновленні федерального законодавства, як-от Stop SCAMS Act конгресмена Джоша Хардера, сигналізує про те, що ера злочинів на основі ШІ досягла нового рівня корпоративної та державної відповіді .