Google a annoncé vendredi engager des poursuites contre un réseau cybercriminel basé en Chine, accusé d’avoir détourné son intelligence artificielle Gemini pour industrialiser des arnaques par SMS. Le groupe, qui exploite le kit clé en main baptisé « Outsider », aurait piégé plus de 100 000 victimes et généré près de 1,59 million de fausses adresses web entre novembre 2025 et avril 2026.
L’essentiel
- Google poursuit en justice les opérateurs du kit d’hameçonnage Outsider, accusés d’avoir détourné son IA Gemini
- Plus de 100 000 victimes et des millions de dollars de pertes, selon la plainte déposée à New York
- 1,59 million de fausses URL et 9 000 faux sites recensés entre novembre 2025 et avril 2026
- En France, un SMS frauduleux se signale gratuitement au 33700 ou sur cybermalveillance.gouv.fr
C’est une première du genre pour le géant de Mountain View. Google a déposé plainte devant un tribunal fédéral de New York contre un réseau qu’il accuse d’avoir transformé son assistant Gemini en outil de fraude à grande échelle.
La cible : les opérateurs d’« Outsider », un kit d’hameçonnage vendu clé en main à des escrocs même débutants. Selon Google, le service a permis d’expédier des vagues de SMS frauduleux usurpant l’identité de marques connues.
Les messages évoquent un « problème » sur un compte ou une « récompense » offerte par l’opérateur mobile. Un lien renvoie vers un faux site, calqué sur celui d’une institution de confiance, conçu pour aspirer numéros de carte bancaire et identifiants.
Le bilan avancé par la plainte donne le vertige. Entre le 14 novembre 2025 et le 14 avril 2026, Google dit avoir recensé 9 000 faux sites et près de 1,59 million d’adresses frauduleuses liées au réseau.
Comment « Outsider » a transformé Gemini en usine à arnaques
Le mode opératoire repose sur une astuce simple. Les membres du réseau demandaient à Gemini — ou à d’autres IA — de générer un code anodin, par exemple une « page de récupération de cadeau », sans JavaScript et avec du CSS intégré.
Ce code servait de coquille, copiée-collée dans Outsider pour fabriquer un site piège presque indiscernable de l’original. Formulées comme de simples demandes d’aide au développement, les requêtes passaient sous les radars.
Le kit se loue pour 88 dollars par semaine via un robot de commande sur Telegram. Il fournit plus de 290 modèles de faux sites, un enregistreur de frappe en temps réel et un tableau de bord pour suivre le « rendement » des campagnes.
Derrière l’outil, Google décrit une véritable entreprise, structurée en groupes spécialisés : développeurs, courtiers en données, spammeurs et blanchisseurs. Pour endiguer le phénomène, la firme s’allie aux opérateurs AT&T, T-Mobile et Verizon afin de bloquer ces messages.
« Les criminels utilisent de plus en plus l’IA pour rendre la fraude plus convaincante et plus difficile à détecter », résume Brett Leatherman, du FBI, cité dans le dossier.
Google n’en est pas à son coup d’essai : il y a sept mois, l’entreprise attaquait déjà un réseau chinois baptisé « Lighthouse », accusé d’avoir piégé plus d’un million d’internautes dans 120 pays. Gemini reste par ailleurs l’un des assistants grand public les plus utilisés, au coude-à-coude avec ses rivaux dans notre comparatif des assistants IA en 2026.
Arnaques par SMS : pourquoi la France est aussi exposée
Le procédé n’a rien d’exotique pour les utilisateurs français. En 2026, près d’un message d’hameçonnage sur trois ne passe plus par l’e-mail mais par le SMS, une technique baptisée « smishing ».
Les scénarios sont bien rodés. Faux SMS de La Poste ou de Chronopost réclamant quelques euros de « frais de douane », fausse amende de péage ou badge de télépéage prétendument suspendu : à chaque fois, un lien et un formulaire bancaire.
La règle d’or tient en une phrase : ne jamais cliquer sur le lien reçu. Mieux vaut saisir soi-même l’adresse officielle dans le navigateur — impots.gouv.fr, ameli.fr, laposte.fr — pour vérifier.
En cas de doute, un SMS suspect se transfère gratuitement au 33700, le service géré par les opérateurs et l’Arcep. La plateforme publique cybermalveillance.gouv.fr propose un diagnostic et oriente les victimes.
L’affaire Outsider illustre surtout une bascule. Les outils d’IA générative, pensés pour épauler les développeurs, abaissent aussi le niveau requis pour monter une escroquerie crédible — un défi de plus pour le règlement européen sur l’IA.
À retenir
- Google poursuit le réseau chinois « Outsider » pour détournement de Gemini
- Plus de 100 000 victimes via de faux sites générés grâce à l’IA
- En France, transférez tout SMS douteux au 33700
