O Google levou aos tribunais um grupo internacional de cibercriminosos acusado de comandar uma rede global de golpes por mensagens de texto. É a primeira vez que a empresa processa autores de ataques de smishing, a modalidade de phishing via SMS, em uma estratégia que combina medidas jurídicas e técnicas para interromper a operação e impedir novas fraudes.
Conhecida como Smishing Triad, a quadrilha teria usado um kit chamado Lighthouse para criar sites falsos que imitavam serviços legítimos, como E‑ZPass e o correio americano USPS, além de se passar pelo próprio Google, enganando usuários e coletando dados pessoais e financeiros. “Eles exploravam a confiança dos usuários em marcas respeitadas”, disse a conselheira jurídica do Google, Halimah DeLaine Prado, à CNBC. Segundo a companhia, o golpe atingiu mais de um milhão de pessoas em 120 países.
Como operava a Smishing Triad e o papel do kit Lighthouse
De acordo com as informações apresentadas pelo Google, o Lighthouse automatizava a criação de páginas fraudulentas, o que acelerava a produção de clones convincentes de serviços amplamente conhecidos. O fluxo típico começava com mensagens de texto que aparentavam ser notificações oficiais, uma tática clássica de phishing via SMS, levando a links maliciosos que solicitavam informações sensíveis, como credenciais de login e dados de pagamento.
Explorando a credibilidade de marcas populares e o senso de urgência, os criminosos elevavam a taxa de conversão de cliques em roubo de dados. O impacto relatado é significativo. De acordo com o Google, criminosos roubaram até 115 milhões de cartões de crédito apenas nos Estados Unidos. O uso do Lighthouse teria permitido adaptar rapidamente os golpes a diferentes países e idiomas, ampliando o alcance global do esquema de smishing.
Para a empresa, desmantelar a infraestrutura por trás do phishing via SMS, e não apenas perseguir indivíduos, é essencial para reduzir o risco sistêmico e evitar que novas variantes do mesmo golpe ressurgem com outros nomes.
O que pede a ação do Google e por que ela é inédita
O processo cita três legislações norte-americanas, a RICO Act, a Lanham Act e a Computer Fraud and Abuse Act (CFAA). O objetivo é duplo, desarticular o grupo e neutralizar o software Lighthouse utilizado para os ataques. Trata‑se da primeira ação da companhia especificamente contra autores de smishing, o que sinaliza um endurecimento da resposta legal às fraudes por SMS.
Além da ação judicial, o Google afirmou apoiar três projetos de lei bipartidários no Congresso dos Estados Unidos voltados ao combate a fraudes e chamadas automatizadas ilegais. A medida se soma a investimentos em proteção tecnológica, como o Key Verifier, um sistema de verificação de links, e a novos filtros com inteligência artificial no aplicativo de mensagens do Google para Android. “É um esforço não apenas jurídico, mas também de política pública”, disse a executiva Halimah DeLaine Prado.
Na avaliação da empresa, ações coordenadas entre tribunais, reguladores e plataformas tecnológicas elevam o custo operacional do crime digital e dificultam a continuidade de esquemas de phishing via SMS em escala internacional.
Privacidade em xeque, o alerta da Microsoft sobre chatbots
Enquanto o Google intensifica a ofensiva contra o phishing via SMS, a Microsoft divulgou um estudo que acende um alerta sobre a privacidade em sistemas de IA, incluindo o Google Gemini. A equipe de segurança da empresa descreveu a falha “Whisper Leak”, uma técnica que permite a terceiros inferirem o tema de conversas criptografadas com assistentes de IA por meio de metadados, como o tamanho e o intervalo entre pacotes de dados, sem quebrar a criptografia em si.
Nos testes, 28 modelos de IA foram avaliados com diferentes tipos de perguntas, e um sistema adversário treinado apenas com padrões de tráfego conseguiu identificar corretamente o tema das conversas em mais de 98% dos casos. Em alguns cenários, a precisão chegou a 100%, mesmo quando as conversas sensíveis representavam apenas uma em cada dez mil interações. Segundo o relatório, nenhum dos métodos de defesa testados eliminou totalmente o vazamento, o que aponta para um desafio estrutural de segurança na arquitetura atual desses serviços.
O achado reforça a necessidade de soluções adicionais de proteção de dados, sobretudo em um momento em que o uso de chatbots se expande para atividades sensíveis. Para o usuário, isso significa redobrar a atenção com links recebidos por SMS, validar URLs antes de inserir informações pessoais e, quando possível, recorrer a ferramentas como o Key Verifier e filtros com IA presentes no ecossistema do Google.
Ao mover a ação contra a Smishing Triad, o Google sinaliza uma resposta mais abrangente ao crime digital, que vai do processo civil à melhoria de recursos de segurança. Em paralelo, a indústria de tecnologia encara o desafio de fortalecer a privacidade dos sistemas de IA, mantendo o foco em reduzir a superfície de ataque que permite que golpes de phishing via SMS prosperem em múltiplos países.