L'IA rend la fraude presque gratuite à industrialiser, met en garde le CTO de NordVPN

Un ensemble opérationnel d'identifiants volés — un e‑mail professionnel, une carte de crédit active et une pièce d'identité — coûte désormais environ 19 $, selon des recherches de NordVPN.

Les responsables de la cybersécurité grand public affirment que l'IA a rendu quasiment gratuite la mise à l'échelle à la fois du vol et des fraudes qui en découlent.

Pour les investisseurs, cela transforme discrètement un marché de VPN de base en une lutte à plus forte valeur ajoutée autour de l'identité et de la fraude.

Marijus Briedis, directeur technologique de NordVPN, a déclaré dans le podcast On The Margin que les identités volées sont désormais étonnamment bon marché.

S'appuyant sur une récente étude de NordVPN en Lituanie, il a déclaré que cela coûte peu "d'obtenir un e‑mail professionnel fonctionnel, une carte de crédit active et une sorte de pièce d'identité ; c'est environ dix-neuf dollars de nos jours."

La raison en est l'échelle. « Ces fuites ont lieu pratiquement tous les jours en ce moment », a-t-il déclaré. « Vous opérez au niveau des données, et en gros, vous vous en fichez, honnêtement. Vous combinez simplement ces données provenant de différentes sources et les mettez dans un panier ... une nouvelle base de données, puis vous essayez de la vendre autant que possible. »

Les pertes déclarées ont déjà atteint des niveaux record. Le rapport annuel IC3 du FBI a recensé 16,6 milliards de dollars de cybercriminalité en 2024, en hausse de 33 % sur un an, et le Center for Financial Services de Deloitte prévoit que la fraude liée à l'IA générative atteindra 40 milliards de dollars aux États-Unis d'ici 2027, contre 12,3 milliards en 2023.

Pourquoi l'IA a industrialisé la fraude

Les outils se sont effondrés pour presque ne plus rien coûter. Monter une fausse boutique en ligne pour récolter des coordonnées de carte, a dit Briedis, « c'est devenu un travail d'environ dix minutes de nos jours, y compris l'achat du domaine, la mise en ligne du site et le déploiement en production, comme on l'appelle. »

C'est, selon lui, la raison pour laquelle les campagnes d'arnaque et de phishing se développent « de façon exponentielle », en particulier autour du Black Friday, et il s'attend à ce que les outils d'IA les poussent à croître « pratiquement de manière exponentielle » à partir d'ici.

Le front suivant est la voix, et il a dit que c'est déjà en cours.

« Il existe déjà des attaques sophistiquées où l'on essaie d'abord d'appeler un de vos proches pour obtenir votre voix et votre manière de parler, puis d'utiliser cette voix générée par l'IA pour appeler ce proche et tenter de vous escroquer », a déclaré Briedis. Il s'attend à ce que la fraude continue de combiner « texte, voix, vidéo. »

Cela a déjà coûté de l'argent réel aux entreprises. Briedis a évoqué l'affaire de 2024 chez Arup, le groupe d'ingénierie londonien, dont un employé des finances à Hong Kong a viré 25,6 millions de dollars après un appel vidéo lors duquel tous les autres participants étaient des deepfakes générés par l'IA.

« Le comptable a été poussé à envoyer vingt‑cinq millions de dollars aux escrocs parce qu'il était dans la réunion Zoom avec tous les dirigeants à ce moment‑là », a‑t‑il déclaré.

Le front automatisé préoccupe d'autres spécialistes du secteur. Varun Kabra, chief growth officer chez Concordium, une blockchain axée sur l'identité, et ancien cadre de la société de confidentialité Proton, a déclaré sur le même podcast que des agents d'IA commencent à effectuer des transactions pour des personnes, et que personne n'est en mesure de voir qui se cache réellement derrière eux.

« La contrepartie de l'autre côté, la compagnie aérienne dans ce cas, ou la plateforme de billetterie, peu importe, n'a aucun moyen de vérifier si un véritable humain responsable se trouve derrière la transaction », a‑t‑il déclaré.

« Et cela pourrait ouvrir la porte à la fraude : des bots se faisant passer pour des humains, des agents opérant sans responsabilité. »

Il a donné un délai : « Nous sommes probablement à six à douze mois du moment où ces transactions pourraient dépasser les transactions homme‑à‑homme, et donc la responsabilité humaine envers les agents est, je pense, le principal problème que le monde doit résoudre. »

Le point pour les investisseurs est que le marché de la fraude actuel repose sur des identités humaines volées, et que le suivant reposera sur des identités machine, des agents dépensant sans qu'il y ait un humain dans la boucle à mettre en cause.

Pourquoi le VPN devient un produit de défense contre la fraude

NordVPN s'est élargi d'un simple VPN vers un ensemble de défense anti-fraude, et Briedis a indiqué que le maillon négligé est le cookie de session.

« Beaucoup de gens se connectent à leur compte et l'oublient. Ils n'aiment pas se déconnecter. Et c'est généralement le problème : si le cookie est généré et qu'il fuit via des voleurs d'informations, un malware ou autre, ce cookie peut être utilisé avec différentes techniques pour se connecter à votre compte et s'emparer de vos données », a‑t‑il déclaré.

Son critère pour livrer une fonctionnalité n'est pas technique. « La plus grande et meilleure assurance qualité de notre produit, c'est ma mère », a‑t‑il dit.

« Si la fonctionnalité est trop technique et qu'elle ne comprend pas comment l'utiliser, c'est un très bon indicateur pour décider si nous devons la déployer ou non. »

Le pivot concerne aussi les marges. Un VPN autonome est désormais une commodité en guerre des prix, tandis que la protection de l'identité et contre la fraude est plus fidélisante et de plus grande valeur, liée aux coordonnées bancaires du client.

Les estimations de marché pour la protection contre le vol d'identité se situent approximativement entre 14 et 17 milliards de dollars en 2025, la plupart des prévisions indiquant une croissance annuelle faible à deux chiffres.

L'indice est venu en avril 2025, lorsque Gen Digital, qui a fusionné Norton et Avast en 2022, a payé environ 1 milliard de dollars pour l'application de finance grand public MoneyLion, ajoutant des outils bancaires et de crédit à son activité de protection d'identité. Le « plus qu'un VPN » de Nord est le même pari côté privé.

Cette société de Vilnius, valorisée pour la dernière fois à 3 milliards de dollars lors d'un tour mené par Warburg Pincus en 2023, concurrence Gen Digital et McAfee, tandis qu'ExpressVPN, Surfshark et Proton restent des rivaux directs sur le marché des VPN.

Briedis a déclaré que le fossé concurrentiel est la confiance, et que c'est ce qui distingue un fournisseur payant de la foule des services gratuits.

« Il existe des VPN gratuits, beaucoup de VPN gratuits », a‑t‑il dit, s'interrogeant sur la manière dont ils financent leur infrastructure : « peut‑être qu'ils font quelque chose avec les données, nous ne savons pas. »

Sa propre réponse est un audit annuel : « Nous effectuons des audits no-logs chaque année. Nous avons été le premier VPN de l'industrie à le faire. »

Le risque réglementaire que les investisseurs doivent suivre

Vendre de la confidentialité a un coût politique. Briedis a dit que Nord a quitté des marchés entiers plutôt que de stocker les données des utilisateurs.

« Certaines personnes veulent obtenir ces données pour avoir l'accès », a‑t‑il dit. « Nous n'allons pas opérer dans ce pays en général ; nous retirons simplement nos serveurs de là. »

L'Inde est le cas le plus clair : ses règles CERT-In de 2022 ont demandé aux fournisseurs de VPN de conserver les données clients pendant jusqu'à cinq ans, et NordVPN, ExpressVPN, Surfshark, Proton et Hide.me ont tous retiré leurs serveurs indiens plutôt que de se conformer.

Pour une entreprise dont la promesse est de ne rien conserver, une loi sur la rétention des données est moins un coût qu'un avis d'expulsion.

Tout le monde n'envisage pas la confidentialité comme Briedis. Kabra trace une ligne nette entre confidentialité et anonymat:

« Je pense toujours que la confidentialité et l'anonymat sont des choses complètement différentes », a‑t‑il dit, soutenant qu'un compte peut comporter un lien humain vérifié tandis que les preuves à connaissance nulle (zero-knowledge proofs) gardent l'identité cachée.

C'est l'instinct inverse d'un VPN no-logs conçu pour ne rien savoir du tout.

Ce que cela signifie pour les investisseurs

Pour les investisseurs, il s'agit d'un changement de demande : l'IA réduit le coût des attaques plus rapidement que les utilisateurs ne renforcent leur vigilance, et l'argent se déplace des simples VPN vers des offres groupées de protection de l'identité, contre les arnaques et contre le dark‑web.

Briedis présente cela comme un combat sans ligne d'arrivée : quelle que soit la défense, les attaquants évoluent eux aussi, a‑t‑il dit, qualifiant cela de « bataille sans fin. »

Sa conclusion est que le logiciel n'est que la moitié de l'équation. « Il s'agit encore d'éducation ... de la façon dont vous vous comportez », a‑t‑il dit.

« En général, tous ces stratagèmes jouent sur le sentiment d'urgence, cherchant à vous pousser à accomplir une action que vous ne feriez pas dans un comportement normal. »