FBI・Googleが中国系フィッシング犯罪組織を摘発——週88ドルのAIキットが推計19億ドル被害・387万枚のカード流出に関与

FBI・Google・Lumen Technologiesは、中国を拠点とするフィッシング・アズ・ア・サービス（PhaaS）「Outsider Enterprise」のインフラを解体したと発表した。週88ドルから購入できるこのキットは、AIを使ったフィッシングサイト量産手法を購入者に指導していたとされ、FBI は2023年7月以降で推計387万枚のクレジットカード情報窃取と19億ドルの損失に関与していると結びつけている。

週88ドルで手に入る「完全犯罪ツール」の実態

ニューヨーク南部地区に提出された訴状によると、Outsider Enterpriseはサブスクリプション制で、料金は週88ドルまたは月200ドル。購入はTelegramのボット経由で行われた。

技術的なスキルは一切不要で、銀行・通信キャリア・政府機関・州の車両局（DMV）・米国郵便公社（USPS）・有料道路システムを模した290種類以上の既製テンプレートを選ぶだけで、偽サイトを数分以内に立ち上げられた。ニューヨークのE-ZPassをはじめとする有料道路詐欺テキストが過去2年間で急増している背景には、こうしたツールの存在があったと見られる。

このキットはリアルタイムで被害者データを取得し、SMSコード・PIN・メールコード・アプリ承認要求を送信する機能も備えていた。二要素認証のワンタイムパスコードさえも奪取できる仕組みだ。

GeminiをだましてフィッシングページのHTMLを生成

Googleの訴状が明らかにした手口の中でも特筆すべきなのが、Google自身のAIであるGeminiの悪用だ。Outsiderは購入者向けにステップバイステップの解説ビデオを配布しており、Geminiにフィッシングページ用のHTMLを書かせる方法を教えていた。

プロンプトはGeminiの安全フィルターをすり抜けるよう巧妙に偽装されており、「インラインCSSを使い、JavaScriptを含まないギフト特典ページ」の作成依頼として入力するよう指示していた。Googleによると、こうして生成されたコードをOutsiderのソフトウェアに取り込むことで、290種類の既存テンプレートに加えた新たな詐欺サイトのバリエーションを際限なく生み出せた。

FBIサイバー部門の副部長であるBrett Leatherman氏は「犯罪者はAIをますます活用し、こうした詐欺をより巧みで検出困難なものにしている」と述べている。

作戦「ゴーストフック」の成果と残された課題

今回の摘発は「オペレーション・ゴーストフック（Operation Ghost Hook）」と命名され、FBIのより広範なオペレーション・リプタイド（Operation Riptide）の一環として実施された。押収物はグループの主要管理ドメイン、Shopifyストアフロント、Outsiderの決済ウォレットから約10万ドル相当のUSDT（テザー）に及ぶ。米国のプロバイダーに登録されていた数千件のフィッシングドメインはFBIの告知ページにリダイレクトされ、捜査機関はグループ自身のTelegramボットを使って顧客情報の収集にも成功した。

Googleが独自に集計した被害規模はFBIの数値よりも小さく、「数十万人の被害者」と「2026年5月の2週間でAndroidユーザーへ送られた250万件の詐欺テキスト」を挙げている。Googleは民事訴訟においてRICO法（組織犯罪規制法）違反と商標侵害の両面で訴えを追及する方針だが、中国にいる未特定の被告が実際に米国へ引き渡される可能性は低いとGoogleも認めている。

現時点ではインフラの解体と資産押収が達成された段階であり、関係者の身柄確保には至っていない。続報を注視したい。

55カ国で稼働した「PhaaS」帝国の全容と法的追及の射程

CyberScoopやSecurityWeekの報道で、Outsider Enterpriseが米国を含む55カ国の個人・企業を標的にしていた事実が明らかになっています。約3年間の稼働期間中に生成された偽サイトは約9,000、不正URLは少なくとも100万件に達し、犯罪インフラとしての規模が浮き彫りとなっています。

押収対象も多岐にわたります。

複数の管理サーバーとShopify上のe-コマースストアフロント
フィッシングキットの動作テストに使われていたアカウント
盗難情報を保管していたTelegramボット
米国プロバイダー経由で登録された数千件のドメイン

Googleの民事訴訟ではRICO法と商標侵害に加え、ワイヤー詐欺・著作権侵害・不当広告も列挙され、Lanham法に基づく損害賠償と差止が請求されています。GoogleはこれをGemini悪用に関する初の訴訟と位置づけており、生成AIの悪用に対する企業側の法的反撃モデルとして注目されています。

米国を覆うスミッシング被害——統計が示す爆発的拡大

Outsiderの解体は単独の事件ではなく、スミッシング全体の急拡大という潮流の中にあります。Interisleの集計によれば、FBIのインターネット犯罪苦情センター（IC3）には2024年末までに有料道路関連スミッシングだけで59,271件の苦情が寄せられました。FTCの報告ではテキスト詐欺による米国民の被害額は2024年に4億7,000万ドルに達し、2020年比で5倍に膨れ上がっています。

指標	数値	出典
2024年テキスト詐欺被害額	4億7,000万ドル	FTC
フィッシング全体に占めるスミッシング比率（2025年）	35%	Cyber Sierra
スミッシング前年比増加率	40%	Cyber Sierra
別アクター登録の有料道路・宅配偽装ドメイン	1万件超	Cyber Sierra

典型的な詐欺SMSは「未払い通行料12.51ドル」と「延滞料50ドル」を組み合わせる定型文を使い、心理的圧迫で送信先URLへの誘導を図っています。米国内10州とカナダ・オンタリオ州を標的とする別の脅威アクターも確認されており、Outsider解体後も同型攻撃が継続する可能性が高い状況です。

Q&A

Q. Outsider EnterpriseはどのようにGeminiの安全フィルターを回避したのか？ 訴状によると、フィッシングページ生成を依頼するプロンプトを「ギフト特典ページ」の作成依頼に見せかけ、かつインラインCSSのみ・JavaScript不使用という無害な実装条件を付記することで、安全フィルターに引っかかりにくい文面を使用するよう購入者に指導していた。

Q. 日本のユーザーが今すぐできる対策はあるか？ ソース記事は具体的な日本向け対策には言及していないが、今回の手口（銀行・宅配・有料道路の偽サイトへの誘導）は日本でも同様の手法が使われているフィッシングと共通する。心当たりのないSMSに含まれるURLは開かず、公式アプリまたは公式サイトからのアクセスを徹底することが有効だ。