Google demanda a grupo criminal chino que utilizó Gemini para phishing

Google ha presentado una demanda contra un grupo de ciberdelincuentes chino Outsider Enterprise — que utilizaba IA, incluido el propio Gemini, para crear sitios de phishing y enviar masivamente mensajes SMS fraudulentos a usuarios de Android.

Qué hizo el grupo

Outsider Enterprise construyó una verdadera fábrica de fraude digital basada en IA generativa. El grupo utilizaba Google Gemini para generar automáticamente páginas web de phishing — copias exactas de recursos oficiales de Google y otras marcas conocidas. Gracias a la IA, la velocidad de creación de tales sitios aumentó dramáticamente: lo que antes requería días ahora toma minutos.

En paralelo, la operación incluía una agresiva campaña de suplantación de SMS. En dos semanas, los estafadores distribuyeron 2,5 millones de mensajes de texto fraudulentos a usuarios de Android — cada uno pareciendo una notificación oficial de Google u otra gran empresa. El objetivo es estándar: obligar a un usuario a hacer clic en un enlace, ingresar credenciales o descargar software malicioso.

Lo que hace esta historia particularmente reveladora es que el grupo utilizaba el propio Gemini — una herramienta de la misma empresa que ahora los está demandando. Esto demuestra claramente lo fácil que es que las herramientas de IA disponibles públicamente se conviertan en armas contra las organizaciones que las desarrollaron.

Estrategia legal de Google

La empresa presentó la demanda el viernes, buscando el desmantelamiento completo de la infraestructura de Outsider Enterprise. Las demandas incluyen:

• transferencia bajo control de Google de todos los dominios involucrados en phishing
• desactivación de servidores y cuentas utilizados por el grupo
• prohibición del uso adicional de productos y plataformas de Google por sus miembros
• recuperación de daños a favor de la empresa y los usuarios afectados
• establecimiento público de responsabilidad de individuos específicos

Las demandas son parte de la estrategia consistente de Google para combatir el fraude a gran escala. El enjuiciamiento penal en casos internacionales es lento e impredecible, mientras que una demanda civil permite un decomiso de dominios y congelamiento de infraestructura más rápido. Además, cada caso exitoso establece un precedente que complica las operaciones de grupos posteriores — al menos en jurisdicciones donde Google puede recuperar realmente daños.

Por qué la IA es conveniente para estafadores

El uso de Gemini para phishing es un ejemplo revelador del desafío sistémico que enfrentan todas las principales empresas de IA. Los modelos generativos pueden crear texto convincente, logotipos, estructura de sitio y navegación — exactamente lo necesario para una imitación plausible de marca. Anteriormente, un sitio de phishing de calidad requería o habilidades técnicas serias o la contratación de especialistas. Hoy es cuestión de unos pocos prompts. La barrera de entrada para estafadores ha disminuido drásticamente, mientras que la credibilidad de los ataques ha aumentado.

Google y otros desarrolladores de IA están implementando restricciones cada vez más estrictas en escenarios peligrosos. Pero los grupos criminales se adaptan rápidamente: utilizan múltiples herramientas simultáneamente, aplican IA solo en etapas específicas de un ataque o buscan modelos sin moderación rigurosa.

Qué significa esto

Las demandas son una respuesta importante pero insuficiente. Mientras un grupo es desmantelado, otros modifican sus esquemas y continúan operando. El progreso real requiere que las empresas de IA no solo reaccionen a incidentes, sino que tengan mecanismos integrados de detección de abuso — antes de que la escala del daño alcance a millones de usuarios afectados.