AI umožňuje škálovat podvody téměř zadarmo, varuje CTO NordVPN

Podle výzkumu NordVPN nyní funkční sada ukradených přihlašovacích údajů, firemní e‑mail, platná platební karta a doklad totožnosti stojí přibližně $19.

Lidé z oblasti spotřebitelské kyberbezpečnosti říkají, že AI učinila jak krádež, tak následné podvody téměř bez nákladů na škálování.

Pro investory to tiše mění komoditní byznys VPN v hodnotnější boj o identitu a prevenci podvodů.

Marijus Briedis, technický ředitel NordVPN, řekl v podcastu On The Margin, že ukradené identity jsou nyní šokujícím způsobem levné.

Citoval nedávný výzkum NordVPN v Litvě a uvedl, že je nízké „dostat funkční firemní e‑mail, funkční platební kartu a nějaký druh dokladu; dnes to stojí kolem devatenácti dolarů.“

Důvodem je rozsah. „Tyto úniky se v podstatě dějí skoro každý den,“ řekl. „Operujete na úrovni dat a upřímně vám je to jedno. Prostě kombinujete ta data z různých zdrojů, dáte je do košíku … nové databáze a snažíte se to prodat co nejvíce.“

Hlášené ztráty jsou už na historických maximech. Výroční zpráva FBI IC3 evidovala v roce 2024 kyberkriminalitu v hodnotě $16.6 miliardy, meziročně o 33 % více, a Deloitte’s Center for Financial Services očekává, že generativní AI podvody dosáhnou v USA do roku 2027 $40 miliard z $12.3 miliardy v roce 2023.

Proč AI zindustrializovala podvody

Nástroje se zhroutily téměř na nic. Postavit falešný e‑shop pro sběr údajů z karet je podle Briedise „dnes práce na deset minut, včetně koupě domény, nasazení webu a pushnutí do produkce, jak tomu říkáme.“

To je podle něj důvod, proč se podvodné a phishingové kampaně „škálují exponenciálně“, zejména v období Black Friday, a očekává, že nástroje AI to odtud „v podstatě exponenciálně“ posunou dál.

Další frontou je hlas a podle něj už běží.

„Už existují pokročilé útoky, kdy se útočníci nejprve snaží zavolat někomu z vašich příbuzných, aby získali záznam vašeho hlasu a intonaci, a pak použijí AI‑generovaný hlas, aby zavolali vašemu příbuznému a pokusili se vás oklamat,“ uvedl Briedis. Očekává, že podvody budou nadále kombinovat „text, hlas, video.“

Už to společnostem stálo reálné peníze. Briedis poukázal na případ z roku 2024 u londýnské inženýrské skupiny Arup, kdy jejich hongkongský pracovník ve financích převedl $25.6 milionu po videohovoru, v němž byli všichni ostatní účastníci AI‑generované deepfake postavy.

„Účetní byl navedeni, aby poslal dvacet pět milionů podvodníkům, protože byl v tom Zoom hovoru se všemi vrcholovými manažery,“ řekl.

Automatizovaná hranice znepokojuje i další odborníky v oboru. Varun Kabra, chief growth officer identity‑orientovaného blockchainu Concordium a bývalý manažer v privacy firmě Proton, řekl ve stejném podcastu, že AI agenti začínají provádět transakce za lidi a nikdo neví, kdo je za nimi skutečně.

„Protistrana na druhé straně, v tomto případě letecká společnost nebo prodejce vstupenek, ať už je to cokoli, nemá způsob, jak ověřit, zda za transakcí stojí skutečný odpovědný člověk,“ řekl.

„A to by mohlo otevřít dveře podvodům, botům jednajícím za lidi, agentům operujícím bez odpovědnosti.“

Dodal časový odhad: „Pravděpodobně jsme šest až dvanáct měsíců od doby, kdy tyto transakce mohou převýšit transakce člověk‑s‑člověkem, a proto je největší problém, který si myslím, že svět musí vyřešit, odpovědnost člověk‑k‑agentovi.“

Pro investory je podstatné, že dnešní trh podvodů stojí na ukradených lidských identitách, zatímco ten další poběží na identitě strojů — agentech, kteří utrácejí bez lidského dohledu, koho obvinit.

Proč se VPN mění na produkt pro ochranu proti podvodům

NordVPN se rozšířil z VPN do balíčku pro obranu proti podvodům a Briedis řekl, že opomíjenou slabinou jsou session cookie.

„Spousta lidí se ráda přihlásí do účtu a pak na to zapomene. Nechtějí se odhlásit. A obvykle to je problém, protože pokud se cookie vygeneruje a unikne přes info stealery nebo malware nebo cokoliv jiného, tak se ta cookie dá různými technikami použít k přihlášení do vašeho účtu a převzetí dat,“ řekl.

Jeho měřítkem pro uvolnění funkce není technika. „Největší a nejlepší kontrola kvality našeho produktu je moje máma,“ řekl.

„Když je funkce příliš geekovská a ona nechápe, jak ji používat, je to opravdu dobrý indikátor, jestli ji máme pustit, nebo ne.“

Přesun je také záležitost marží. Samostatná VPN je dnes komodita boje o cenu, zatímco ochrana identity a proti podvodům je ‚stickier‘ a hodnotnější, napojená na bankovní údaje zákazníka.

Odhady trhu pro ochranu proti krádeži identity se v roce 2025 pohybují přibližně mezi $14 miliardami až $17 miliardami, přičemž většina prognóz ukazuje na nízko‑dvojciferný meziroční růst.

Ukazatelem byl duben 2025, kdy Gen Digital, které v roce 2022 spojilo Norton s Avastem, zaplatilo asi $1 miliardu za spotřebitelskou finanční aplikaci MoneyLion a přidalo bankovní a kreditní nástroje do svého byznysu ochrany identity. Nordův model „více než VPN“ je stejná sázka z privátní strany.

Tato vilniuská firma, naposledy oceněná na $3 miliardy v kole Warburg Pincus v roce 2023, konkuruje Gen Digital a McAfee, zatímco ExpressVPN, Surfshark a Proton zůstávají přímými soupeři v oblasti VPN.

Briedis řekl, že příkopem (moatem) je důvěra, a že právě ta odlišuje placeného poskytovatele od zástupu bezplatných.

„Existují bezplatné VPN, hodně bezplatných VPN,“ řekl a zpochybnil, jak si udržují infrastrukturu: „možná dělají něco s daty, nevíme.“

Jeho vlastní odpověď je roční audit: „Každý rok děláme audity bez logů. Začali jsme jako první VPN v oboru to dělat.“

Regulační riziko, které by měli investoři sledovat

Prodej soukromí nese politické náklady. Briedis uvedl, že Nord raději opustil celé trhy, než by uchovával uživatelská data.

„Někteří lidé chtějí získat ta data, aby k nim měli přístup,“ řekl. „Nebudeme v té zemi obecně fungovat; prostě z ní odstraníme naše servery.“

Indie je nejjasnější případ: její pravidla CERT‑In z roku 2022 nařizovala poskytovatelům VPN uchovávat data zákazníků až pět let a NordVPN, ExpressVPN, Surfshark, Proton a Hide.me všechny stáhly své indické servery, místo aby vyhověly.

Pro byznys, který slibuje, že nic neuchovává, je zákon o uchovávání dat méně nákladem než výpověď z trhu.

Ne každý nahlíží na soukromí jako Briedis. Kabra dělá ostrou hranici mezi soukromím a anonymitou:

„Vždy myslím na soukromí a anonymitu jako na zcela odlišné věci,“ řekl a argumentoval, že účet může nést ověřené lidské propojení, zatímco důkazy s nulovým vědomím (zero‑knowledge proofs) mohou identitu skrýt.

To je opakový instinkt k no‑logs VPN vybudované tak, aby nic nevěděla.

Co to znamená pro investory

Pro investory jde o posun poptávky: AI snižuje náklady útoku rychleji, než uživatelé zvýší svou ostražitost, a peníze se přesouvají od obyčejných VPN k balíčkům ochrany identity, proti podvodům a ochraně proti záznamům na dark webu.

Briedis to rámuje jako boj bez cílové čáry: cokoli je obrana, útočníci se také vyvíjejí, řekl, a nazval to „nekonečnou bitvou.“

Jeho závěr je, že software je jen polovina. „Je to zase o vzdělávání … jak se chováte,“ řekl.

„Obvykle všechna ta schémata jsou o naléhavosti, snaží se vás přimět k nějaké akci, kterou byste za normálních okolností neudělali.“