AI gør svindel næsten gratis at opskalere, advarer NordVPNs CTO

Et fungerende sæt stjålne legitimationsoplysninger, en firmamail, et aktivt kreditkort og et ID koster nu omkring $19, ifølge NordVPN-forskning.

Dem der driver forbrugersikkerhed siger, at AI har gjort både tyveriet og den efterfølgende bedrageri næsten gratis at opskalere.

For investorer betyder det stiltiende, at en varepræget VPN-forretning bliver til en højere-værdi kamp om identitet og bedrageri.

Marijus Briedis, teknologichef hos NordVPN, sagde på On The Margin-podcasten, at stjålne identiteter nu er chokerende billige.

Med henvisning til nylig NordVPN-forskning i Litauen sagde han, at det koster meget lidt "at få en fungerende firmamail, et fungerende kreditkort og en eller anden form for ID; det er omkring nitten dollars nu til dags."

Årsagen er skala. "De læk sker stort set hver dag nu til dags," sagde han. "Du opererer på et dataniveau, og ærligt talt bryder du dig ikke om det. Du kombinerer bare de data fra forskellige kilder og lægger dem i en kurv ... en ny database, og så prøver du bare at sælge det så meget som muligt."

De rapporterede tab er allerede på rekordhøje niveauer. FBIs IC3-årsrapport opgjorde $16,6 milliarder i cyberkriminalitet i 2024, op 33% på årsbasis, og Deloittes Center for Financial Services forventer, at generativ-AI-svindel vil nå $40 milliarder i USA i 2027, fra $12,3 milliarder i 2023.

Hvorfor AI har industrialiseret bedrageri

Værktøjerne er kollapset til næsten ingenting. At oprette en falsk webshop for at høste kortoplysninger, sagde Briedis, "er bare som et ti-minutters job i dag, inklusive køb af domænet, opsætning af hjemmesiden, rulle det ud i produktion, som vi kalder det."

Derfor skalerer svindel- og phishing-kampagner "eksponentielt," især omkring Black Friday, og han forventer, at AI-værktøjer vil presse det "grundlæggende eksponentielt" fra her af.

Næste front er stemme, og han sagde, at den allerede er i gang.

"Der findes allerede avancerede angreb, hvor folk først prøver at ringe til en pårørende for at få din stemme og din talemåde, og derefter bruger den AI-genererede stemme til at ringe til din pårørende for at forsøge at snyde dig," sagde Briedis. Han forventer, at bedrageri fortsætter med at kombinere "tekst, stemme, video."

Det har allerede kostet virksomheder reelle penge. Briedis pegede på sagen i 2024 hos Arup, den London-baserede ingeniørgruppe, hvor en finansmedarbejder i Hongkong overførte $25,6 millioner efter et videoopkald, hvor alle de andre deltagere var AI-genererede deepfakes.

"Regnskabsføreren blev lokket til at sende femogtyve millioner til svindlerne, fordi han var i Zoom-mødet sammen med alle lederne på det tidspunkt," sagde han.

Den automatiserede front bekymrer andre i feltet. Varun Kabra, chief growth officer hos identitetsfokuserede blockchain Concordium og tidligere leder hos privacy-firmaet Proton, sagde på samme podcast, at AI-agenter begynder at foretage transaktioner for mennesker, og ingen kan se, hvem der reelt står bag dem.

"Modparten på den anden side, flyselskabet i dette tilfælde, eller billetplatformen, eller hvad det nu er, har ingen måde at verificere, om der er et reelt ansvarligt menneske bag transaktionen," sagde han.

"Og det kunne åbne en dør for bedrageri, bots der optræder som mennesker, agenter der opererer uden ansvarlighed."

Han satte en tidshorisont på det: "Vi er sandsynligvis seks til tolv måneder væk, hvor disse transaktioner måske overgår menneske-til-menneske-transaktionerne, og dermed er menneske-til-agent-ansvarlighed det største problem, jeg tror verden skal løse."

Pointen for investorer er, at dagens bedragerimarked kører på stjålne menneskelige identiteter, og det næste vil køre på maskinidentitet, agenter der bruger penge uden et menneske i løkken at klandre.

Hvorfor VPN'en bliver et produkt til bedrageriforsvar

NordVPN har udvidet sig fra en VPN til en pakke for bedrageriforsvar, og Briedis sagde, at det oversete hul er sessionscookien.

"Mange mennesker kan lide at logge ind på deres konto og så bare glemme det. De kan ikke lide at logge ud. Og det er normalt problemet, fordi hvis cookien bliver genereret og lækket gennem info-stealers eller malware eller hvad det nu er, kan den cookie blive brugt med forskellige teknikker til at logge ind på din konto og overtage dine data," sagde han.

Hans målestok for at lancere en funktion er ikke teknisk. "Den største og bedste QA af vores produkt er min mor," sagde han.

"Hvis funktionen er for nørdet og hun ikke forstår, hvordan man bruger den, er det en rigtig god indikator for, om vi skal rulle den ud eller ej."

Pivoten er også en marginsag. En selvstændig VPN er nu en pris-krigsvare, mens identitets- og bedrageribeskyttelse er mere fastholdende og højere værdi, knyttet til en kundes bankoplysninger.

Markedsestimater for identitetstyveribeskyttelse ligger mellem omtrent $14 milliarder og $17 milliarder i 2025, med de fleste prognoser, der peger på en årlig vækst i lave tocifrede procenter.

Signalet kom i april 2025, da Gen Digital, som fusionerede Norton med Avast i 2022, betalte omkring $1 milliard for forbrugerfinans-appen MoneyLion og byggede bank- og kreditværktøjer på sin identitetsbeskyttelsesforretning. Nords "mere end VPN" er samme satsning fra den private side.

Det vilnius-baserede firma, sidst værdisat til $3 milliarder i en Warburg Pincus-runde i 2023, konkurrerer med Gen Digital og McAfee, mens ExpressVPN, Surfshark og Proton forbliver de direkte VPN-rivaler.

Briedis sagde, at voldgraven er tillid, og at det er det, der adskiller en betalt udbyder fra mængden af gratisudbydere.

"Der er gratis VPN'er, mange gratis VPN'er," sagde han og stillede spørgsmålstegn ved, hvordan de holder deres infrastruktur kørende: "måske gør de noget med dataene, det ved vi ikke."

Hans eget svar er en årlig revision: "Vi laver no-logs-audits hvert år. Vi startede som den første VPN i branchen med det."

Den regulatoriske risiko investorer bør følge

Salg af privatliv bærer en politisk pris. Briedis sagde, at Nord har forladt hele markeder frem for at lagre brugerdata.

"Nogle reger vil gerne have adgang til de data," sagde han. "Vi vil ikke operere i det land generelt; vi fjerner bare vores servere derfra."

Indien er det klareste tilfælde: dets CERT-In-regler fra 2022 påbød VPN-udbydere at opbevare kundedata i op til fem år, og NordVPN, ExpressVPN, Surfshark, Proton og Hide.me trak alle deres indiske servere i stedet for at efterkomme reglerne.

For en forretning, hvis løfte er, at den ikke opbevarer noget, er en lov om datalagring mindre en omkostning end en udvisningsmeddelelse.

Ikke alle indrammer privatliv på samme måde som Briedis. Kabra trækker en skarp linje mellem privatliv og anonymitet:

"Jeg tænker altid på privatliv og anonymitet som helt forskellige ting," sagde han og argumenterede for, at en konto kan bære en verificeret menneskelig tilknytning, samtidig med at nul-vidensbeviser holder identiteten skjult.

Det er den modsatte instinkt end en no-logs-VPN bygget til slet ikke at vide noget.

Hvad det betyder for investorer

For investorer er det et skift i efterspørgslen: AI skærer angrebsomkostningerne hurtigere ned, end brugerne hæver deres forsvar, og pengene bevæger sig fra rene VPN'er mod pakkeløsninger med identitets-, svindel- og dark-web-beskyttelse.

Briedis indrammer det som en kamp uden mål: uanset forsvaret udvikler angriberne sig også, sagde han og kaldte det en "evig kamp."

Hans konklusion er, at softwaren kun er halvdelen af løsningen. "Det handler igen om uddannelse ... hvordan du opfører dig," sagde han.

"Normalt handler alle de her ordninger om hastværk, at forsøge at presse dig til en handling, som du ikke burde foretage i normal adfærd."