Google demanda a un grupo chino que usó Gemini para campañas de phishing

Google ha presentado una demanda judicial contra Outsider Enterprise, un grupo cibercriminal chino que utilizó IA, incluido el propio Gemini, para crear sitios de phishing y enviar SMS fraudulentos de forma masiva a usuarios de Android.

Qué hizo el grupo

Outsider Enterprise montó una auténtica fábrica de fraude digital basada en IA generativa. El grupo usó Google Gemini para generar automáticamente páginas web de phishing: copias exactas de los sitios oficiales de Google y de otras marcas conocidas. Gracias a la IA, la velocidad de creación de estas webs se multiplicó. Lo que antes llevaba días, ahora lleva minutos.

En paralelo, la operación incluyó una agresiva campaña de suplantación por SMS. En dos semanas, los estafadores enviaron 2,5 millones de mensajes de texto falsos a usuarios de Android, cada uno con la apariencia de una notificación oficial de Google o de otra gran empresa. El objetivo era el habitual: conseguir que el usuario pulsara un enlace, introdujera sus credenciales o descargara una aplicación maliciosa.

Lo que hace este caso especialmente revelador es que el grupo empleó precisamente Gemini, es decir, una herramienta de la misma compañía que ahora lo lleva a los tribunales. Es una muestra elocuente de lo fácil que resulta convertir herramientas de IA de acceso público en armas contra las organizaciones que las desarrollaron.

La estrategia judicial de Google

La compañía presentó la demanda el viernes con el objetivo de desmantelar por completo la infraestructura de Outsider Enterprise. Sus peticiones incluyen:

• transferir a Google el control de todos los dominios utilizados en el phishing
• desactivar los servidores y las cuentas que usaba el grupo
• prohibir a sus miembros seguir utilizando los productos y plataformas de Google
• obtener una indemnización por daños para la compañía y los usuarios afectados
• determinar públicamente la responsabilidad de personas concretas

Las demandas forman parte de una estrategia sostenida de Google contra el fraude a gran escala. En los casos internacionales, la vía penal es lenta e impredecible, mientras que una demanda civil permite lograr antes la incautación de dominios y la congelación de la infraestructura. Además, cada caso ganado sienta un precedente que complica la actividad de los siguientes grupos, al menos en las jurisdicciones donde Google puede cobrar realmente los daños.

Por qué la IA resulta tan útil para los estafadores

El uso de Gemini para phishing ilustra un reto sistémico al que se enfrentan todas las grandes empresas de IA. Los modelos generativos saben crear textos convincentes, logotipos, estructura y navegación web: justo lo necesario para imitar una marca de forma verosímil.

Antes, un sitio de phishing de calidad exigía conocimientos técnicos serios o contratar a especialistas. Hoy basta con unos cuantos prompts. La barrera de entrada para los estafadores ha caído en picado, mientras que la credibilidad de los ataques ha aumentado.

Google y otros desarrolladores de IA imponen restricciones cada vez más estrictas a los usos peligrosos. Pero los grupos criminales se adaptan rápido: combinan varias herramientas a la vez, recurren a la IA solo en determinadas fases del ataque o buscan modelos sin una moderación estricta.

Qué significa esto

Las demandas son una respuesta importante, pero insuficiente. Mientras se desarticula un grupo, otros modifican sus esquemas y siguen operando. Un avance real exige que las empresas de IA no se limiten a reaccionar ante los incidentes, sino que integren mecanismos de detección de abusos antes de que el daño alcance a millones de víctimas.