Ação busca declarar ilegal o esquema de phishing como serviço, que vendia kits e imitava USPS, bancos e o próprio Google, citando RICO Act e violação de marca
O Google entrou na Justiça contra um grupo identificado como Lighthouse, acusado de operar um esquema de phishing como serviço. Segundo a ação, os réus teriam criado uma estrutura profissionalizada para vender kits prontos e licenças mensais, permitindo que criminosos montassem páginas falsas com rapidez e escala. O caso, revelado em documentos judiciais, aponta a reprodução de sites de instituições financeiras, órgãos públicos e empresas conhecidas, incluindo o serviço postal dos Estados Unidos, o USPS, além de páginas com o logotipo do próprio Google.
De acordo com o processo, o alcance foi expressivo. Em apenas 20 dias, integrantes da rede teriam criado cerca de 200 mil páginas fraudulentas, o que poderia ter exposto mais de um milhão de vítimas em potencial. O Google argumenta que a operação fere leis de propriedade intelectual, ao reproduzir marcas registradas, e configura crime organizado, além de minar a confiança dos usuários em seus serviços.
Como funcionava o esquema de phishing como serviço
Os documentos descrevem um modelo no qual o Lighthouse oferecia ferramentas, modelos e suporte para que golpistas conduzissem campanhas de phishing com aparência profissional. As iscas partiam, geralmente, de mensagens de texto falsas, comunicando supostos problemas em entregas, cobranças ou pagamentos. Ao clicar nos links, a vítima era redirecionada a páginas praticamente idênticas às de empresas reais, com identidade visual, formulários e elementos de interface convincentes.
O objetivo, aponta o Google, era capturar dados sensíveis, como informações bancárias e pessoais. Um agravante, detalhado na ação, é que mesmo quem desistia de concluir o preenchimento podia ter informação coletada, já que o sistema registrava as teclas digitadas durante a navegação. A denúncia cita a clonagem de sites de pedágios eletrônicos, de bancos, do USPS e até páginas com o logotipo do Google, caracterizando violação de marca registrada e fraude.
Para o Google, a oferta de phishing como serviço reduz barreiras técnicas, amplia o alcance dos golpes e acelera a criação de novas páginas, o que explicaria o volume identificado nos primeiros 20 dias. O modelo de licenças mensais e a venda de templates prontos teriam dado tração ao esquema, facilitando a vida de criminosos menos experientes e profissionalizando a operação.
O que o Google pede à Justiça
Na petição, a companhia acusa o grupo de violar a Lei de Organizações Corruptas e Influenciadas pelo Crime Organizado, RICO Act, além de praticar fraude e uso indevido de marca. O objetivo é obter uma decisão que declare o esquema ilegal, o que, segundo a empresa, permitiria remover o Lighthouse de outras plataformas e ajudaria autoridades a identificar os envolvidos, que, de acordo com o processo, estariam na China.
A conselheira-geral do Google, Halimah DeLaine Prado, afirmou ao The Verge que “cabe às empresas fazer o que puderem, onde puderem”, e que é “útil usarmos nossos recursos para ajudar a combater o crime cibernético que afeta nossos usuários”. A posição pública reforça a estratégia de combinar medidas técnicas, como melhorias no navegador, com ações legais para desarticular redes de fraude.
Além do processo, o Google declara apoio a projetos de lei federais voltados ao combate a golpes digitais. A empresa relembra que, no ano passado, melhorou a proteção em tempo real contra phishing no Google Chrome, um recurso que bloqueia automaticamente tentativas conhecidas de golpes e alerta o usuário diante de páginas suspeitas.
Impacto para usuários e próximos passos
Uma decisão favorável ao Google pode criar um precedente relevante contra o phishing como serviço, pressionando fornecedores desses kits e viabilizando sua remoção coordenada de hospedagens, redes sociais e serviços de pagamento. A empresa sustenta que a declaração de ilegalidade e a cooperação entre plataformas são passos essenciais para quebrar o ciclo de criação e realocação de domínios falsos, prática comum em golpes de alta escala.
Para os usuários, o caso expõe como o phishing se sofisticou, com páginas quase indistinguíveis das legítimas, coleta de teclas digitadas e exploração de fluxos cotidianos, como rastreio de encomendas e cobranças. A recomendação geral é manter a atenção, verificar a URL antes de inserir informações sensíveis, e manter o navegador atualizado, já que recursos de proteção em tempo real no Chrome têm papel importante na mitigação do risco.
Do ponto de vista do ecossistema digital, o avanço de ações judiciais como esta tende a aumentar a pressão regulatória e técnica sobre operadores de phishing como serviço. Ao mesmo tempo, o volume reportado, 200 mil páginas em 20 dias e mais de um milhão de vítimas em potencial, mostra que o desafio permanece significativo e exige coordenação entre empresas, autoridades e usuários. O desfecho do processo, portanto, pode influenciar os próximos movimentos do setor, tanto na esfera legal como na evolução de ferramentas de segurança.