2,5 millions de SMS en 2 semaines: Google traîne un réseau chinois devant la justice

L’arnaque n’a plus besoin d’un faux prince nigérian mal traduit pour prospérer. Selon Google, un réseau criminel chinois aurait industrialisé le phishing à l’échelle de masse en s’appuyant sur l’IA, des milliers de faux sites et une mécanique d’envoi de SMS suffisamment vaste pour toucher des centaines de milliers de victimes.

Le 12 juin 2026, le groupe américain a annoncé une plainte contre une organisation qu’il désigne sous le nom d’Outsider Enterprise. L’affaire illustre une mutation nette de la fraude en ligne : des campagnes toujours plus automatisées, plus crédibles, et capables de contourner les réflexes élémentaires des utilisateurs.

Google choisit l’offensive judiciaire contre une machine à escroquer

Dans sa plainte, Google accuse Outsider Enterprise d’avoir utilisé l’IA pour produire et optimiser des messages frauduleux envoyés par SMS, dans le but de dérober des mots de passe, des numéros de carte bancaire et d’autres données sensibles. L’entreprise estime que l’opération a causé plusieurs millions de dollars de pertes.

Les chiffres avancés donnent la mesure de l’infrastructure. Google évoque 9 000 faux sites, 1 million de domaines frauduleux et 2,5 millions de SMS expédiés à des utilisateurs Android en l’espace de deux semaines. À cette échelle, il ne s’agit plus de campagnes opportunistes, mais d’une chaîne logistique du phishing, avec ses volumes, ses tests et probablement ses itérations continues.

L’action judiciaire s’inscrit dans une stratégie désormais classique des grandes plateformes : ne pas se contenter du filtrage technique, mais tenter de perturber l’économie même des réseaux criminels. En attaquant en justice, Google cherche à obtenir des mesures de blocage, à identifier des opérateurs, à saisir des infrastructures et à compliquer la réutilisation des outils employés.

Une plainte qui vise aussi l’effet dissuasif

Sur le terrain pénal, les procédures transfrontalières restent lentes, surtout lorsque les groupes visés opèrent depuis des juridictions peu coopératives. Mais les plaintes civiles déposées par les géants américains ont une autre fonction : documenter publiquement les méthodes, fournir une base juridique aux registrars, hébergeurs et intermédiaires, et fragiliser les circuits qui permettent à ces réseaux de prospérer.

Autrement dit, même si tous les opérateurs ne sont pas arrêtés, l’objectif est aussi de faire grimper le coût opérationnel de l’escroquerie.

L’IA n’invente pas l’arnaque, elle l’industrialise

Le cœur du dossier tient dans ce point : l’IA n’est pas présentée comme la source de l’attaque, mais comme un multiplicateur de productivité criminelle. C’est un détail décisif.

Les SMS frauduleux ne sont pas nouveaux. Les faux sites imitant des pages de connexion, de livraison ou de paiement non plus. Ce qui change, c’est la capacité à produire rapidement des variantes crédibles, à adapter le ton, la langue, le contexte et la présentation selon les cibles. Les outils d’IA générative permettent notamment de :

- rédiger des messages plus convaincants, sans fautes grossières ;

- personnaliser les formulations selon les régions ou les types de services imités ;

- générer en masse des contenus pour des sites de phishing ;

- tester plusieurs versions d’un message pour identifier celles qui convertissent le mieux.

Dans ce schéma, l’IA joue le rôle d’accélérateur. Là où un fraudeur devait autrefois bricoler quelques pages et quelques scripts, une organisation structurée peut désormais lancer des milliers de déclinaisons, ajustées en continu, à faible coût marginal.

Le phishing devient un problème d’échelle

Le chiffre de 1 million de domaines frauduleux est particulièrement révélateur. Même si tous ne sont pas actifs simultanément, un tel volume suggère une stratégie de saturation : multiplier les points d’entrée, remplacer très vite les sites fermés, et disperser l’infrastructure pour compliquer la détection.

C’est le même principe pour les 9 000 faux sites mentionnés par Google. Le but n’est pas seulement de tromper, mais de durer malgré les blocages. Une URL fermée est immédiatement remplacée par une autre. Un message signalé peut réapparaître sous une variante quasi identique, portée par un nouveau domaine.

Android en première ligne, mais le problème dépasse un seul système

Google souligne que 2,5 millions de SMS frauduleux ont été envoyés à des utilisateurs Android en deux semaines. Ce point est logique : l’entreprise se place sur son terrain, celui de son écosystème mobile et de ses outils de détection.

Mais l’enjeu dépasse Android. Les campagnes par SMS, ou smishing, touchent l’ensemble du marché mobile. Leur efficacité repose sur un canal simple, direct et encore perçu comme relativement fiable par une partie du public. Un message prétendant venir d’un service de livraison, d’une banque ou d’une administration peut déclencher une réaction rapide, surtout s’il invoque une urgence : colis bloqué, paiement refusé, compte suspendu.

Google affirme par ailleurs intercepter plus de 10 milliards de messages frauduleux par mois grâce à ses systèmes de détection. Le volume est colossal. Il dit deux choses à la fois : d’un côté, les filtres progressent ; de l’autre, la production de messages malveillants reste elle aussi massive.

Une guerre d’automatisation contre automatisation

C’est sans doute la dimension la plus importante de cette affaire. Les escrocs utilisent l’IA pour rédiger, varier et diffuser. Les plateformes utilisent leurs propres modèles pour détecter les formulations suspectes, les schémas d’envoi, les domaines récemment créés ou les pages qui imitent des interfaces connues.

Cette course à l’automatisation n’a rien d’abstrait. Elle se traduit par des arbitrages concrets : combien de faux positifs un filtre peut tolérer, à quelle vitesse une campagne est bloquée, combien d’utilisateurs cliquent avant l’interception, et combien de domaines peuvent être neutralisés avant qu’ils ne soient remplacés.

Derrière les chiffres, un modèle économique déjà bien rodé

L’expression “Outsider Enterprise” n’a rien d’anodin. Elle suggère moins une bande improvisée qu’un système organisé, avec des rôles, des outils et probablement des services mutualisés. Le phishing moderne fonctionne souvent comme un écosystème : certains enregistrent des domaines, d’autres conçoivent les pages, d’autres gèrent l’envoi des messages, d’autres encore exploitent les données volées ou les revendent.

Dans cette logique, l’IA ne fait pas disparaître la main humaine. Elle permet surtout de réduire le temps de production, de standardiser les campagnes et d’augmenter le rendement.

Le passage à l’échelle transforme aussi le profil des victimes. Ce type d’opération ne vise pas uniquement des cibles à forte valeur. Il prospère parce qu’un très faible taux de réussite suffit lorsqu’on envoie des millions de messages. Quelques dixièmes de point de conversion peuvent représenter des milliers de comptes compromis.

Pourquoi cette affaire compte au-delà du seul dossier Google

Le signal envoyé par cette plainte est double. D’abord, les grandes plateformes veulent montrer qu’elles ne subissent plus seulement les campagnes criminelles : elles cherchent à remonter les filières. Ensuite, l’affaire confirme que l’IA générative est désormais intégrée à l’outillage banal de la cyberfraude, au même titre que les kits de phishing ou les fermes de domaines.

Cela renforce la pression sur plusieurs acteurs : opérateurs télécoms, hébergeurs, registrars, navigateurs, éditeurs de systèmes mobiles et banques. Aucun ne peut traiter seul un problème dont la force réside précisément dans sa fragmentation.

Pour les utilisateurs, la leçon est moins nouvelle que plus urgente : un SMS, même bien écrit, même plausible, ne vaut jamais preuve d’authenticité. La professionnalisation linguistique des arnaques retire l’un des signaux d’alerte les plus faciles à repérer.

Le prochain test sera mesurable

L’intérêt de cette procédure se jugera moins à son annonce qu’à ses effets tangibles dans les prochaines semaines. Le premier indicateur sera la capacité de Google à faire tomber durablement une partie des 9 000 faux sites et à assécher des pans du stock de 1 million de domaines frauduleux évoqué dans la plainte. Le second sera l’évolution du volume de smishing détecté sur Android, alors que Google affirme déjà bloquer plus de 10 milliards de messages frauduleux par mois.

Si ces chiffres reculent de manière visible, l’action aura produit un effet concret. Dans le cas contraire, cette affaire confirmera surtout une réalité plus inquiétante : face à des escrocs déjà industrialisés, l’IA ne crée pas seulement de nouveaux risques, elle permet d’exploiter à grande vitesse tous les anciens.