生成AIがフィッシング（なりすまし詐欺）の量産装置に変わった——2026年6月12日、Googleは自社のGeminiを悪用した大規模詐欺組織「Outsider Enterprise」に対し、米国連邦地裁（ニューヨーク南区）へ民事訴訟を提起しました。これはGeminiの不正利用を直接めぐるGoogle初の提訴です。

本記事では、Outsider Enterpriseの手口、被害規模、GoogleとFBIの対応、消費者が取るべき防御策を整理します。

この記事でわかること

  • Outsider EnterpriseがGeminiをどう使い、9000超の偽サイトを量産したか
  • 2週間で250万通の詐欺SMSが送られた規模感
  • Google・FBI・通信キャリアがどう連携して摘発に動いているか
  • AI時代のフィッシングに対して個人が取れる具体的な防御策

自社AIを武器に自社ユーザーを狙った詐欺組織

2026年6月12日、Googleは公式ブログで、中国拠点のサイバー犯罪ネットワーク「Outsider Enterprise」への民事訴訟を公表しました。被告は訴状上「Does 1-25」と匿名で記載され、Telegram上で「Outsider Enterprise」と名乗る犯罪グループです。

同組織は「Outsider（アウトサイダー）」と呼ばれるフィッシング・サービス（Phishing-as-a-Service）を販売していました。利用料は週88ドルまたは月200ドルで、290以上の偽サイトテンプレート、リアルタイムの被害者情報ダッシュボード、多要素認証（MFA）回避機能などを提供します。技術的な知識が乏しい犯罪者でも、購入後すぐに大規模な詐欺キャンペーンを実行できる仕組みです。

Googleの訴状によると、Outsider Enterpriseはメンバー同士にGeminiなどのAIツールでフィッシングサイト用のコードを生成するよう推奨していました。生成したコードをOutsiderソフトに取り込み、Google、YouTube、米国郵政公社（USPS）、ニューヨーク州E-ZPass（有料道路の電子決済）などの正規サイトに酷似したページを「数分で」複製できたとGoogleは述べています。

9000偽サイトと250万通SMS——被害の規模

Googleが公表した数字は、AI悪用の規模を端的に示しています。

  • 偽サイト9000超、関連URL100万超
  • 2026年5月の2週間だけで、Androidユーザーへの詐欺SMS250万通
  • 同2週間でAndroidユーザーからのスパム報告5万5000件（1分あたり2件超）
  • 被害者は「数十万規模」、損失額は「数百万ドル規模」と推定

2025年11月14日から2026年4月14日までの5か月間だけでも、GoogleはOutsider Enterpriseに関連する159万超のURLを検出しています。TechCrunchの報道では、FBIが2023年7月以降、このフィッシング基盤経由で387万枚超のクレジットカード情報窃取と19億ドル超の損失があったと推計していると伝えられています（参考）。Googleの訴状では、95か国の金融機関が発行した3万6000枚超の決済カード情報が窃取されたとも記載されています。

手口は定型的です。偽の荷物配達通知、銀行からの緊急警告、アカウント侵害アラートなどのSMSで緊急性を演出し、リンク先の偽サイトでパスワードやクレジットカード情報を入力させます。入力データはOutsiderのプラットフォーム経由でリアルタイムに犯罪者へ送信されます。

訴状では、2025年後半以降AIを使ったフィッシング攻撃が14倍以上に増加し、報告されたフィッシング事件の半数超を占めるようになったとも指摘されています（参考）。文面の自然さだけでは詐欺を見分けにくい時代が到来しています。

Google・FBI・通信3社が連携した摘発

Googleは提訴に加え、複数の主体と連携してインフラの解体を進めています。

FBIサイバー局のアシスタント局長ブレット・リーザーマン氏は、Googleの公式声明で「Outsider Enterpriseの背後にいる犯罪者は、信頼できるブランドになりすまして数十万の被害者を詐取するビジネスを築いた」と述べています。TechCrunchによると、FBIはLumenのBlack Lotus Labsと協力し、犯罪者が使っていた複数ドメインやShopifyのストアフロント、テスト用アカウントを押収したと報じられています。

通信キャリア3社——AT&T、T-Mobile、Verizon——もGoogleと協力し、詐欺SMSを端末に届く前にブロックする取り組みを進めています。AT&Tは月間数十億件のロボコールとスパムSMSをAIでブロック・ラベル付けしていると述べ、VerizonもAI悪用SMSへの対抗には業界横断の連携が不可欠だと強調しています。

裁判所側でも動きがあります。ニューヨーク南区連邦地裁のビクター・マレロ判事は、Googleの緊急申請を認め、Outsider Enterpriseの全世界での活動を禁じる仮差し止め命令を発出しました（参考）。GoogleはRICO法（組織的犯罪対策法）やランハム法（商標法）などに基づく損害賠償と活動停止命令を求めています。

提訴だけでは足りない——AIガバナンスへの提言

Googleは公式ブログで「訴訟だけでは終わらない」と明言し、7つの超党派法案の制定を求めています。対象には「National Strategy for Combatting Scams Act（詐欺対策国家戦略法）」「STOP Scams Against Seniors Act（高齢者詐欺防止法）」などが含まれます。ペンシルベニア州のブライアン・フィッツパトリック下院議員は「これはスパムではなく、スマートフォンを通じて動く組織的な国際犯罪だ」とコメントしています。

技術面では、GoogleはAndroid向けのAIスキャム検知機能や、月間100億件超の悪意あるメッセージを遮断するメッセージ防御を展開しています。AIによる攻撃にAIで対抗する構図が、ここでも鮮明になっています。

ただし、Gemini内部の安全策がどのように回避されたのか、悪用がいつから続いていたのかは、現時点の公開情報では詳細が限定的です。民事訴訟は被告が海外にいる場合、インフラの停止は可能でも刑事責任の追及は難しい——Big Techが自ら法的手続きを起こす背景には、こうした司法管轄の限界もあります。

消費者が今すぐ取るべき防御策

AI生成テキストは文法ミスが少なく、見た目の信頼性だけでは詐欺を判別できません。FBIのなりすまし・フィッシング解説が推奨する基本対策は、AI時代でも有効です。

  • SMSやメールのリンクをタップせず、公式アプリやブックマークから直接アクセスする
  • パスワードや決済情報の入力を求める突然の連絡は、送信元を確認するまで応じない
  • 被害を受けた場合はFBIのIC3（インターネット犯罪苦情センター）へ報告する

AI提供企業にとっても、今回の提訴は重要な先例になります。自社モデルが犯罪インフラの一部になった場合、利用規約の執行と民事訴訟を組み合わせて対応する——Googleが示したこの手法は、他のAI企業にも波及する可能性があります。

生成AIの普及速度に、防御と法整備が追いついていない現状は変わりません。Outsider Enterpriseの摘発は一つのネットワークの解体にすぎず、フィッシング・サービス自体は他の犯罪グループが引き継ぐ構造です。個人の確認習慣と、企業・法執行機関・通信事業者の連携——両方が欠かせない局面に入っています。