Google daagt Chinese AI-fraudeurs: hoe criminelen Gemini misbruikten voor 2,5 miljoen scam-sms'jes

Op 12 juni 2026 diende Google een rechtszaak in tegen Outsider Enterprise, een op China gebaseerde cybercrime-organisatie die op grote schaal AI-tools misbruikte voor phishing en online fraude. Bijzonder detail: de criminelen maakten daarvoor gebruik van Googles eigen Gemini, de AI die normaal bedoeld is voor productieve toepassingen. Het is de eerste rechtszaak waarbij Google Gemini-misbruik als aanklacht opvoert. Google werkt voor deze zaak samen met de FBI, telecomproviders AT&T, T-Mobile en Verizon, en cybersecuritybedrijf Lumen's Black Lotus Labs.

Hoe de organisatie AI inzette

Outsider Enterprise bood een platform aan onder de naam Outsider, verkrijgbaar via Telegram voor 88 tot 200 dollar per maand. Het platform bevatte meer dan 290 kant-en-klare sjablonen voor valse websites die leken op bekende diensten: Google, YouTube, de Amerikaanse posterijen, tolsystemen en financiële instellingen.

Het slimme aan het model: klanten van Outsider Enterprise kregen toegang tot handleidingen met instructies hoe ze Gemini konden inzetten om op maat gemaakte phishing-code te genereren. AI verlaagde zo de technische drempel voor het opzetten van overtuigende fraudesites drastisch. Waar vroeger programmeerkennis vereist was, kon iemand met een abonnement en een AI-prompt binnen minuten een nauwkeurige kopie van een bestaande website maken.

De schaal van de operatie

De cijfers zijn indrukwekkend, en niet op een goede manier:

• 9.000 valse websites en meer dan 1 miljoen frauduleuze domeinen aangemaakt
• 2,5 miljoen berichten aan de frauduleuze infrastructuur van de groep gekoppeld
• Gestolen betaalgegevens van instellingen in 95 landen
• Minstens 1,59 miljoen frauduleuze URL's gedetecteerd in een periode van vijf maanden (november 2025 tot april 2026)
• Geschatte schade: 1,9 miljard dollar aan verloren kaartgegevens sinds juli 2023

FBI-cyberdivisie directeur Brett Leatherman omschreef het kernprobleem bondig: "Criminelen gebruiken AI steeds vaker om fraude als deze overtuigender en moeilijker te detecteren te maken."

Hoe Google en overheden reageren

De rechtszaak is onderdeel van een bredere aanpak. Google coördineert met de FBI om de infrastructuur achter de campagnes te blokkeren, en de telecomproviders AT&T, T-Mobile en Verizon werken mee om kwaadaardige berichten te onderscheppen voordat ze gebruikers bereiken. Lumen's Black Lotus Labs heeft meegewerkt aan het identificeren van de frauduleuze domeinen.

Deze combinatie van juridische stap, samenwerking met telecom en actieve infrastructuurdetectie is een patroon dat ik steeds vaker zie: grote techbedrijven nemen zelf de rechter in en trekken de samenwerking met opsporingsinstanties aan omdat overheden alleen niet snel genoeg kunnen optreden.

Wat betekent dit voor jouw bedrijf?

De boodschap voor MKB is helder: AI-gegenereerde phishing is niet meer de hobby van hoogopgeleide hackers. Het is een geïndustrialiseerd, geabonneerd en geautomatiseerd product dat voor minder dan 200 dollar per maand te huur is.

Wat je nu kunt doen:

1. Train je team op AI-gegenereerde phishing. Valse sites zien er inmiddels nagenoeg identiek uit aan echte. De klassieke tip "controleer het design" werkt niet meer. Controleer altijd het domein in de adresbalk, niet het uiterlijk van de pagina.
2. Stel multi-factor authenticatie (MFA) in op alle zakelijke accounts. Zelfs als inloggegevens worden gestolen, blokkeert MFA de meeste toegangspogingen.
3. Gebruik een DNS-filter of emailfilter die bekende fraudedomeinen blokkeert. Leveranciers als Cloudflare of je eigen firewall bieden dit vaak al aan.
4. Rapporteer verdachte links actief. Google, Apple en telecomproviders gebruiken gebruikersmeldingen om hun detectiesystemen bij te werken.

Een datalek begint zelden met een gebrekkige technische beveiliging. Het begint met iemand die op een link klikt. Een concreet voorbeeld: een ethisch hacker registreerde een paar verlopen domeinnamen en kreeg daarmee toegang tot 258 financiële dossiers van mensen onder bewind, zonder gekraakte server of ingewikkelde aanval.