Google đã khởi kiện một mạng lưới tội phạm mạng có trụ sở tại Trung Quốc, cáo buộc nhóm này dùng Gemini AI để hỗ trợ chiến dịch phishing liên quan tới 3,87 triệu thẻ tín dụng bị đánh cắp và thiệt hại 1,9 tỷ USD từ tháng 7/2023.
Vụ việc cho thấy phishing-as-a-service đang được tổ chức hóa hơn và tận dụng AI để tạo trang giả, nhắn tin giả và né phát hiện. Hồ sơ còn nêu đây là một chiến dịch xuyên biên giới, ảnh hưởng tới người dùng và doanh nghiệp ở nhiều quốc gia.
- Google kiện một mạng lưới bị cáo buộc dùng Gemini AI để hỗ trợ phishing.
- FBI liên hệ chiến dịch này với 3,87 triệu thẻ tín dụng bị đánh cắp và 1,9 tỷ USD thiệt hại.
- Chiến dịch vận hành như một dịch vụ thuê bao, có mẫu website, nhắn tin hàng loạt và các công cụ vượt xác thực đa lớp.
Google cáo buộc mạng lưới Outsider Enterprise lạm dụng Gemini AI
Outsider Enterprise là tên Google dùng để chỉ một mạng lưới phishing bị cáo buộc vận hành theo kiểu dịch vụ thuê bao. Google cho biết nhóm này dùng Gemini AI để tạo nội dung và hướng dẫn hỗ trợ các trang giả mạo, rồi bán quyền truy cập với phí 88 USD mỗi tuần hoặc 200 USD mỗi tháng.
Hồ sơ tại tòa liên bang Manhattan nêu rằng người mua nhận hơn 290 mẫu website dựng sẵn, mô phỏng ngân hàng, nhà mạng, cơ quan chính phủ, hãng vận chuyển, DMV, dịch vụ chính quyền New York và nhà bán lẻ. Google đang theo đuổi các cáo buộc theo Đạo luật RICO, cùng với xâm phạm nhãn hiệu và lạm dụng dịch vụ Google Cloud, Drive.
FBI liên kết chiến dịch với 3,87 triệu thẻ tín dụng và 1,9 tỷ USD thiệt hại
FBI cho biết chiến dịch này gắn với 3,87 triệu số thẻ tín dụng bị xâm phạm và tổng thiệt hại ước tính 1,9 tỷ USD kể từ tháng 7/2023. Cơ quan này cũng nói tổn thất thực tế có thể cao hơn con số được Google nêu trong đơn kiện.
Theo hồ sơ, các cuộc tấn công nhắm tới người dùng và doanh nghiệp tại 55 quốc gia, trong khi các thẻ thanh toán liên quan được phát hành bởi tổ chức tài chính ở 95 quốc gia. Google còn cho biết từng chặn hơn 1,59 triệu URL liên quan tới dịch vụ phishing này.
Outsider Enterprise vận hành như một dây chuyền tội phạm có phân công rõ ràng
Outsider Enterprise được mô tả là một tổ chức có nhiều bộ phận chuyên trách, từ phát triển phần mềm, chọn mục tiêu, hạ tầng nhắn tin cho đến hợp thức hóa tiền thu được. Cấu trúc này giúp chiến dịch có thể mở rộng nhanh mà không cần kỹ năng lập trình cao từ phía người mua.
Nhóm vận hành sử dụng Telegram bot để phân phối quyền truy cập, kèm các mẫu website sẵn có để dựng trang giả chỉ trong vài phút. Hệ thống còn có bảng điều khiển thời gian thực, ghi lại thao tác bàn phím, thu thập thông tin đăng nhập tự động và các công cụ nhằm vượt qua xác thực đa lớp.
Google nói mạng lưới này còn phát hành hướng dẫn chi tiết để người dùng tạo “shell site HTML” bằng Gemini và các công cụ AI khác. Các yêu cầu gửi cho Gemini được soạn theo cách giống như câu hỏi lập trình vô hại, chẳng hạn tạo một trang đổi quà với CSS nội tuyến và không có JavaScript.
Chiến dịch nhắn tin giả mạo nhắm vào các tình huống quen thuộc
Sau khi một trang giả được dựng lên, nhóm gửi tin nhắn hàng loạt mạo danh các thương hiệu quen thuộc để kéo nạn nhân truy cập. Những mồi nhử được nêu trong hồ sơ gồm gói hàng bị bỏ lỡ, phí cầu đường chưa thanh toán, vi phạm đỗ xe, sự cố tài khoản môi giới và phần thưởng từ nhà mạng.
Khi người dùng nhập thông tin, dữ liệu bị chuyển về hệ thống của nhóm theo thời gian thực thông qua cơ chế ghi lại thao tác bàn phím. Google và các đối tác viễn thông cũng cho biết đang chặn các tin nhắn liên quan để hạn chế việc tiếp cận nạn nhân.
Operation Ghost Hook nhắm vào hạ tầng của mạng lưới
Operation Ghost Hook là chiến dịch phối hợp giữa Google, FBI và một số đối tác an ninh mạng nhằm triệt hạ hạ tầng của Outsider Enterprise. Các biện pháp đã bao gồm tịch thu nhiều tên miền quản trị cốt lõi, một cửa hàng Shopify, khoảng 100.000 USD từ ví thanh toán của Outsider và hàng nghìn tên miền đăng ký qua các nhà cung cấp tại Mỹ.
FBI cũng đã dùng chính Telegram bot của Outsider để lấy thông tin về khách hàng của mạng lưới. Về phía Google, công ty cho biết hệ thống phòng thủ dùng AI của họ đang chặn hơn 10 tỷ tin nhắn lừa đảo mỗi tháng.
Vụ kiện này phản ánh xu hướng phishing được tăng tốc bằng AI
Vụ việc cho thấy các chiến dịch lừa đảo không chỉ dựa vào mã độc hay hạ tầng truyền thống mà còn khai thác AI để làm nội dung giả thuyết phục hơn và khó phát hiện hơn. Google xem đây là vụ kiện lớn thứ hai liên quan tới phishing-as-a-service có yếu tố Trung Quốc trong vòng bảy tháng.
Hồ sơ cũng đặt vụ việc này trong chuỗi đối đầu pháp lý trước đó với một mạng lưới tên Lighthouse, vốn bị kiện theo RICO và bị chặn hoạt động gần như ngay sau lệnh tạm thời. Với Outsider Enterprise, trọng tâm hiện nằm ở việc AI được dùng như một lớp hỗ trợ để tự động hóa phần việc mà trước đây con người phải làm thủ công.
Tổng kết
Vụ kiện của Google cho thấy phishing-as-a-service đang được công nghiệp hóa hơn, với AI đóng vai trò hỗ trợ tạo nội dung, mở rộng quy mô và che giấu dấu vết. Các con số FBI nêu ra cho thấy mức độ thiệt hại của kiểu tấn công này vẫn còn rất lớn.
