記事

GoogleがAIフィッシング網「Outsider Enterprise」を提訴：偽サイト9000件、不正URL100万件超の摘発へ

Googleが偽の宅配通知や銀行警告のSMSを量産する中国拠点のサイバー犯罪ネットワークを提訴しました。FBIや通信3社と連携し、超党派の詐欺対策法案7本の成立も後押しします。

Googleは2026年6月12日、AIを悪用した大規模フィッシング詐欺ネットワークに対する民事訴訟を提起したと発表しました。偽の宅配便通知や銀行の緊急警告を装ったSMSの背後にいる組織のインフラを解体するのが狙いです。訴訟と並行してFBIが法執行活動を進めるほか、AT&T・T-Mobile・Verizonの通信大手3社とも連携し、詐欺SMSが利用者に届く前のブロックを強化します。発表したのはGoogleの法務責任者Halimah DeLaine Prado氏です。

標的は中国拠点の「Outsider Enterprise」

訴訟の対象は「Outsider Enterprise」と呼ばれる組織的なサイバー犯罪ネットワークです。Googleによると、この組織は中国を拠点にTelegram上で連携しており、Googleをはじめとする信頼されたブランドになりすました偽SMSキャンペーンを大量配信できる「フィッシングキット」を犯罪者向けに流通させています。

受け取った側には「荷物が届けられませんでした」「アカウントが侵害されています」といった、誰もが見覚えのある文面が届きます。その先にあるのは、パスワードやクレジットカード情報を盗み取るために設計されたAI駆動の犯罪インフラです。フィッシングキットという「道具」を売る側と、それを使って実際に詐欺SMSをばらまく側で分業が成立しているため、個々の攻撃者を捕まえるだけでは被害が止まらない構造になっています。Googleが組織のインフラそのものの解体を狙うのはこのためです。

数字で見る被害の規模

Googleが公表した数字からは、この組織の活動規模がうかがえます。

被害者は数十万人にのぼり、金銭被害は推定で数百万ドル規模
この組織に関連する偽サイトは9000件、不正URLは100万件超
今年5月の2週間だけで、Androidユーザーが5万5000件のスパムSMSを報告（1分あたり2件超のペース）
同じ2週間で、組織が生成した偽サイトへのリンクを含む250万通のメッセージがAndroidユーザーに送信された

Googleのセキュリティ施策を表すイラスト。盾のマークを中心に、詐欺警告を受け取る人や指紋認証が描かれている

画像引用元: Google Blog

訴訟だけでは終わらせない：超党派7法案を支持

Googleは「訴訟だけではこの問題は終わらない」として、AIを使った詐欺に対抗する超党派の連邦法案7本の成立を後押しすると表明しました。そのひとつが、政府・法執行機関・産業界の連携を国家戦略に格上げする「Stop SCAMS Act」です。

提案者のBrian Fitzpatrick下院議員は「これはスパムではなく、私たちの電話を通って動く組織的な国際犯罪だ」と述べ、脅威と同じレベルで協調した対応が必要だと訴えています。FBIサイバー部門のBrett Leatherman氏も「犯罪者はAIを使って詐欺をより巧妙で検出しにくいものにしている。Googleのようなパートナーとともになら、単独の組織では不可能な形で犯罪ネットワークを破壊できる」とコメントしました。

AIでAI詐欺と戦う

防御面でGoogleは、AIを使った詐欺にAIで対抗する姿勢を明確にしています。Androidには通話中に不審な会話や連絡先を警告する詐欺検出機能が組み込まれており、メッセージング防御は月間100億通を超える悪意あるメッセージを遮断しています。強力なセキュリティ防御と積極的な法的措置を組み合わせることで、より安全なインターネットを目指すとしています。

通信事業者側も足並みを揃えており、AT&TはAIを使って毎月数十億件のロボコールとスパムSMSをブロックまたはラベル付けしているほか、なりすましサイトの削除や、業界団体Industry Traceback Groupと連携したスパム発信源の追跡にも取り組んでいると説明します。T-Mobileは「脅威が巧妙化するなか、高度な技術とネットワークレベルの保護、パートナーシップへの投資を続ける」と表明し、Verizonも「技術的な防御だけでは不十分であり、積極的な法的措置と政府との協力を組み合わせることが重要だ」と強調しました。プラットフォーマー・通信事業者・法執行機関が一枚岩で動く、業界横断の共同防衛という構図です。

日本のユーザーにも他人事ではない

偽の宅配通知SMSから誘導するフィッシングは、日本でも長年猛威を振るっている手口です。今回の発表は米国での法的措置ですが、フィッシングキットが国境を越えて流通する以上、同じインフラが日本向けの詐欺に使われている可能性も否定できません。

個人でできる防御策は基本に忠実であることです。SMS内のリンクは開かず公式アプリやブックマークからアクセスする、パスワードの使い回しを避ける、二要素認証を有効にする。この3点を徹底するだけでも、今回摘発されたタイプの詐欺の大半は防げます。社内のセキュリティ教育資料に、AI生成フィッシングの事例を加えておくのもよいタイミングです。