Googleは、「Lighthouse」と呼ばれるフィッシング・アズ・ア・サービス（PhaaS）プラットフォームを解体するための訴訟を提起しました。このプラットフォームは、世界中のサイバー犯罪者に利用され、米国郵便公社（USPS）やE-ZPass有料道路システムを装ったSMSフィッシング（「スミッシング」）攻撃を通じてクレジットカード情報を盗み出していました。
この訴訟は、Lighthouseフィッシング・アズ・ア・サービス（PhaaS）を支えるウェブサイトインフラを停止させることを目的としており、Googleによると、このサービスは120か国以上で100万人を超える被害者に影響を与えています。こうしたタイプの詐欺により、2023年7月から2024年10月の間に、米国内だけで最大1億1500万枚の決済カードが盗まれたと推定されています。
Googleの訴訟は、連邦の組織犯罪および詐欺関連法令、具体的には「組織犯罪影響・腐敗組織対策法（RICO法）」、「ランハム法」、および「コンピュータ詐欺・乱用防止法」に基づき、Lighthouseプラットフォームに対する請求を行っています。
料金・配送詐欺に利用されるLighthouse PhaaS
Googleによると、Lighthouseは他のサイバー犯罪者向けにフィッシング用テンプレートとインフラを提供しており、USPSなどの有名サービスやEZPassのような有料道路料金支払いシステムを装ったテキストメッセージを送信できるようにしています。
BleepingComputerは、料金当局を名乗る大規模なフィッシングキャンペーンが米国の人々を標的にした後、このような詐欺について以前にも報じています。
出典: BleepingComputer
これらのスミッシングメッセージ内のリンクは、訪問者に未払いの通行料金があると主張する料金当局を装ったサイトへ誘導します。しかし、これらのサイトの主な目的は、さらなる金融詐欺に利用するために個人情報やクレジットカード番号を盗み出すことです。
出典: BleepingComputer
Googleは、自社ブランドを用いてサイトの信頼性を高めようとするフィッシング用ウェブサイトテンプレートを少なくとも107種類発見したと述べています。
「彼らは、詐欺サイト上で当社の商標やサービスを不正に表示することで、Googleや他ブランドの評判を悪用しています」と、Googleは説明しています。
「私たちは、正規サイトだと人々に信じ込ませるために、Googleのブランドをサインイン画面に使用したウェブサイトテンプレートを少なくとも107種類確認しました。」
Cisco Talosの研究者は、Lighthouseを、中国の脅威アクター「Wang Duo Yu」が開発したスミッシングキットと以前から関連付けており、同人物がTelegramチャンネルを運営し、Lighthouseフィッシングキットの販売とサポートを行っているとしています。
出典: Cisco Talos
このフィッシングプラットフォームは、脅威アクターがiMessage（iOS）やRCS（Android）を通じてテキストメッセージを送信することを可能にし、スパムフィルターを回避できる可能性があります。
Talosによると、2024年10月以降、複数の脅威アクターがWang Duo Yuのキットを利用して米国全土で有料道路詐欺を展開し、ワシントン、フロリダ、ペンシルベニア、バージニア、テキサス、オハイオ、イリノイ、カンザスなどの州のユーザーに対して偽のE-ZPass請求通知を送信していました。
Talosは、これらの詐欺で使用された数千件ものタイポスクワッティングドメインを観測しており、このオペレーションが2025年まで継続していることを示しています。
Netcraftも、Wang Duo YuがLighthouseを商用フィッシングキットとして販売しており、サブスクリプション料金は週88ドルから年1,588ドルまで幅があると報告しています。
このプラットフォームは、ログイン認証情報だけでなく、二要素認証（2FA）コードも盗み出せるカスタマイズ可能なテンプレートをサポートしていました。
Brian Krebsが最初に報じたように、このグループは以前「Smishing Triad」という名称で活動していましたが、2025年3月にLighthouseへとリブランディングしました。
同様のキャンペーンは、DarculaやLucidといった、フィッシング・アズ・ア・サービスプラットフォームを運営する他の中国系脅威アクターにも帰属されています。
しかしNetcraftによると、LighthouseはLucidと同じ『LOAFING OUT LOUD』という偽ショップテンプレートを使用しており、両グループの間に何らかの関係がある可能性が示唆されています。
Google、新たな米国政策を支持
Googleはまた、消費者を詐欺や海外拠点のサイバー犯罪から保護することを目的とした、複数の米国の政策イニシアチブを支持することも本日発表しました。
- Guarding Unprotected Aging Retirees from Deception (GUARD) Act: 退職者を標的とした詐欺を捜査する権限を州および地方の法執行機関に与える法案。
- Foreign Robocall Elimination Act: 海外発の違法な自動音声通話（ロボコール）を遮断するためのタスクフォースを設置する法案。
- Scam Compound Accountability and Mobilization (SCAM) Act: 詐欺拠点に対抗するための国家戦略を策定し、その運営者に制裁を科す法案。
Googleは、詐欺メッセージを検出するためのAI活用を拡大し、Googleメッセージ内での新たな保護機能を追加するとともに、「リカバリ用連絡先」を通じてアカウント復旧プロセスを改善すると述べています。
同社はまた、ユーザーがこの種の詐欺を見分けられるようにするための啓発活動や、パートナーシップによる取り組みも継続していくとしています。
