L'IA rende la frode quasi gratuita da scalare, avverte il CTO di NordVPN

Un set funzionante di credenziali rubate, un'email aziendale attiva, una carta di credito valida e un documento d'identità costano ormai circa $19, secondo ricerche di NordVPN.

Chi gestisce la cybersecurity per i consumatori afferma che l'IA ha reso quasi a costo zero sia il furto dei dati sia le frodi che ne derivano.

Per gli investitori, ciò sta silenziosamente trasformando il business delle VPN da commodity in una sfida di maggior valore incentrata sull'identità e sulla prevenzione delle frodi.

Marijus Briedis, chief technology officer di NordVPN, ha detto nel podcast On The Margin che le identità rubate sono ora sorprendentemente economiche.

Citand0 recenti ricerche di NordVPN in Lituania, ha detto che costa poco "per ottenere un'email aziendale funzionante, una carta di credito valida e una sorta di documento d'identità; oggi è circa $19."

La ragione è la scala. "Quelle fughe di dati avvengono praticamente ogni giorno" ha detto. "Operi a livello di dati e, onestamente, non te ne preoccupi. Semplicemente combini quei dati provenienti da diverse fonti e li metti in un paniere ... in un nuovo database, e cerchi di venderli il più possibile."

Le perdite segnalate sono già ai massimi storici. Il rapporto annuale IC3 dell'FBI ha contato $16.6 billion di cybercrime nel 2024, in aumento del 33% sull'anno, e il Center for Financial Services di Deloitte prevede che le frodi basate su AI generativa raggiungeranno $40 billion negli USA entro il 2027, rispetto a $12.3 billion nel 2023.

Perché l'IA ha industrializzato la frode

Gli strumenti si sono ridotti a quasi nulla. Allestire un negozio falso per raccogliere i dati delle carte, ha detto Briedis, "oggi è praticamente un lavoro di dieci minuti, compreso comprare il dominio, mettere online il sito e spingerlo in produzione, come lo chiamiamo noi."

Questo, ha detto, è il motivo per cui le campagne di truffa e phishing si scalano "esponenzialmente", soprattutto attorno al Black Friday, e si aspetta che gli strumenti di IA le spingano "praticamente in modo esponenziale" d'ora in avanti.

Il prossimo fronte è la voce, e ha detto che è già in corso.

"Esistono già attacchi sofisticati in cui gli aggressori prima cercano di chiamare un tuo parente per ottenere la tua voce e il modo in cui parli, e poi utilizzano quella voce generata dall'IA per chiamare il tuo parente nel tentativo di truffarti", ha detto Briedis. Si aspetta che le frodi continuino a combinare "testo, voce, video."

Questo ha già costato soldi veri alle aziende. Briedis ha citato il caso del 2024 di Arup, il gruppo di ingegneria londinese, in cui il dipendente finanziario a Hong Kong ha trasferito $25.6 million dopo una videochiamata in cui tutti gli altri partecipanti erano deepfake generati dall'IA.

"Il contabile è stato indotto a inviare venticinque milioni ai truffatori perché era in quella riunione Zoom con tutti i dirigenti al momento", ha detto.

Il fronte automatizzato preoccupa altri nel settore. Varun Kabra, chief growth officer della blockchain focalizzata sull'identità Concordium e ex dirigente della società per la privacy Proton, ha detto sullo stesso podcast che gli agenti IA stanno cominciando a effettuare transazioni per conto delle persone, e nessuno può vedere chi c'è davvero dietro di loro.

"La controparte dall'altra parte, la compagnia aerea in questo caso, o la piattaforma di biglietteria, qualunque cosa sia, non ha modo di verificare se dietro la transazione ci sia un umano reale responsabile", ha detto.

"E questo potrebbe aprire la porta a frodi: bot che agiscono come umani, agenti che operano senza responsabilità."

Ha dato una tempistica: "Probabilmente siamo a sei-dodici mesi da un punto in cui queste transazioni potrebbero superare quelle uomo-a-uomo, e quindi la responsabilità uomo-verso-agente è il problema più grande che, credo, il mondo debba risolvere."

Il punto per gli investitori è che il mercato delle frodi odierno si basa su identità umane rubate, mentre il prossimo si baserà sull'identità delle macchine, con agenti che spendono senza un umano nel circuito a cui attribuire responsabilità.

Perché la VPN sta diventando un prodotto di protezione antifrode

NordVPN si è allargata da VPN a pacchetto di protezione antifrode, e Briedis ha detto che il punto trascurato è il cookie di sessione.

"Molte persone tendono ad accedere al proprio account e poi dimenticarsene. Non amano disconnettersi. E di solito questo è il problema, perché se il cookie viene generato e viene divulgato tramite info-stealer, malware o altro, quel cookie potrebbe essere usato con diverse tecniche per accedere al tuo account e prendere il controllo dei tuoi dati", ha detto.

Il suo metro per rilasciare una funzionalità non è tecnico. "Il più grande e migliore QA del nostro prodotto è mia madre", ha detto.

"Se la funzionalità è troppo tecnica e lei non capisce come usarla, è un ottimo indicatore se dovremmo introdurla o meno."

La svolta è anche una storia di margini. Una VPN autonoma è oggi una commodity in una guerra di prezzi, mentre la protezione dell'identità e dalle frodi è più fidelizzante e di maggior valore, collegata ai dettagli bancari del cliente.

Le stime di mercato per la protezione contro il furto d'identità vanno da circa $14 billion a $17 billion nel 2025, con la maggior parte delle previsioni che indica una crescita annua a due cifre bassa.

Il segnale è arrivato nell'aprile 2025, quando Gen Digital, che ha fuso Norton con Avast nel 2022, ha pagato circa $1 billion per l'app di finanza consumer MoneyLion, aggiungendo strumenti bancari e di credito al suo business di protezione dell'identità. Il "more than VPN" di Nord è la stessa scommessa dal lato privato.

Quella società di Vilnius, valutata l'ultima volta $3 billion in un round Warburg Pincus nel 2023, compete con Gen Digital e McAfee, mentre ExpressVPN, Surfshark e Proton restano i concorrenti diretti nel mercato VPN.

Briedis ha detto che il fossato competitivo è la fiducia, ed è ciò che distingue un fornitore a pagamento dalla folla di servizi gratuiti.

"Ci sono VPN gratuite, molte VPN gratuite", ha detto, mettendo in dubbio come mantengano l'infrastruttura: "forse fanno qualcosa con i dati, non lo sappiamo."

La sua risposta è un audit annuale: "Facciamo audit no-logs ogni anno. Siamo stati i primi nel settore VPN a farlo."

Il rischio regolamentare che gli investitori dovrebbero monitorare

Vendere privacy comporta un costo politico. Briedis ha detto che Nord ha abbandonato interi mercati piuttosto che conservare i dati degli utenti.

"Alcune persone vogliono ottenere quei dati per avere l'accesso", ha detto. "In generale non opereremo in quel paese; semplicemente rimuoviamo i nostri server da lì."

L'India è il caso più evidente: le regole CERT-In del 2022 obbligavano i fornitori VPN a conservare i dati dei clienti fino a cinque anni, e NordVPN, ExpressVPN, Surfshark, Proton e Hide.me hanno tutti rimosso i loro server indiani piuttosto che conformarsi.

Per un'azienda la cui promessa è di non trattenere nulla, una legge sulla conservazione dei dati è meno un costo che un avviso di sfratto.

Non tutti inquadrano la privacy come Briedis. Kabra traccia una netta distinzione tra privacy e anonimato:

"Io penso sempre che privacy e anonimato siano cose completamente diverse", ha detto, sostenendo che un account può avere un collegamento verificato con un umano mentre le prove a conoscenza zero mantengono nascosta l'identità.

Questa è l'istintiva opposta rispetto a una VPN no-logs costruita per non sapere nulla.

Cosa significa per gli investitori

Per gli investitori si tratta di uno spostamento della domanda: l'IA sta riducendo i costi degli attacchi più rapidamente di quanto gli utenti alzino la guardia, e il denaro si sta spostando dalle VPN semplici verso pacchetti che includono protezione dell'identità, contro le truffe e il dark web.

Briedis lo inquadra come una lotta senza una linea di arrivo: qualunque sia la difesa, anche gli aggressori evolvono, ha detto, definendola una "battaglia senza fine."

La sua conclusione è che il software è solo metà della questione. "Si tratta ancora di educazione... di come ti comporti", ha detto.

"Di solito tutti questi schemi puntano sull'urgenza, cercando di spingerti ad agire in modo che non faresti normalmente."