AI menjadikan penipuan hampir percuma untuk diskalakan, kata CTO NordVPN

Satu set kredensial yang dicuri yang berfungsi, e-mel perniagaan, kad kredit yang sah, dan dokumen pengenalan kini berharga kira-kira $19, menurut penyelidikan NordVPN.

Pengendali keselamatan siber pengguna berkata AI telah menjadikan kedua-dua kecurian dan penipuan yang mengikutinya hampir percuma untuk diskalakan.

Bagi pelabur, ini secara senyap menukar perniagaan VPN komoditi kepada pertarungan bernilai lebih tinggi mengenai identiti dan penipuan.

Marijus Briedis, ketua pegawai teknologi NordVPN, berkata dalam podcast On The Margin bahawa identiti yang dicuri kini sangat murah.

Merujuk kepada penyelidikan NordVPN terkini di Lithuania, beliau berkata kosnya rendah "untuk mendapatkan e-mel perniagaan yang berfungsi, kad kredit yang sah dan beberapa jenis dokumen pengenalan; harganya sekitar $19 pada masa ini."

Sebabnya ialah skala. "Kebocoran itu berlaku hampir setiap hari sekarang," katanya. "Anda beroperasi pada tahap data, dan pada asasnya, anda tidak kisah, sejujurnya. Anda hanya menggabungkan data itu dari sumber berlainan dan meletakkannya dalam bakul ... pangkalan data baru, dan anda cuba menjualnya sebanyak mungkin."

Kerugian yang dilaporkan sudah berada pada paras tertinggi. Laporan tahunan IC3 FBI mengira $16.6 bilion dalam jenayah siber pada 2024, naik 33% berbanding tahun sebelumnya, dan Pusat Perkhidmatan Kewangan Deloitte menjangkakan penipuan berasaskan generatif-AI akan mencapai $40 bilion di AS menjelang 2027, dari $12.3 bilion pada 2023.

Mengapa AI menjadikan penipuan berskala industri

Alatnya kini semakin murah. Mendirikan kedai palsu untuk mengumpul butiran kad, kata Briedis, "hanya mengambil masa kira-kira sepuluh minit sekarang, termasuk membeli domain, meletakkan laman web, dan menggerakkannya ke persekitaran produksi yang kami panggil 'prod'."

Itulah, katanya, sebabnya kempen penipuan dan pancingan data berkembang "secara eksponen," terutamanya sekitar Black Friday, dan beliau menjangka alat AI akan mendorongnya "pada asasnya secara eksponen" dari sini.

Front seterusnya ialah suara, dan katanya ia sudah berlaku.

"Sudah ada serangan canggih di mana orang mula-mula cuba menelefon saudara anda untuk mendapatkan suara dan cara anda bercakap, dan kemudian menggunakan suara yang dijana AI itu untuk menelefon saudara anda untuk cuba menipu anda," kata Briedis. Beliau menjangka penipuan akan terus menggabungkan "teks, suara, video."

Ia sudah menyebabkan syarikat menanggung kerugian sebenar. Briedis merujuk kepada kes 2024 di Arup, kumpulan kejuruteraan London, di mana pekerja kewangan mereka di Hong Kong memindahkan $25.6 juta selepas panggilan video di mana setiap peserta lain adalah deepfake yang dijana AI.

"Akauntan itu diperdayakan untuk menghantar dua puluh lima juta kepada penipu kerana dia berada dalam mesyuarat Zoom dengan semua eksekutif pada masa itu," katanya.

Had automatik itu merisaukan pihak lain dalam bidang ini. Varun Kabra, ketua pegawai pertumbuhan di blockchain berfokus identiti Concordium dan bekas eksekutif di firma privasi Proton, berkata dalam podcast yang sama bahawa ejen AI mula menjalankan transaksi bagi pihak orang, dan tiada siapa yang dapat melihat siapa sebenarnya di sebalik mereka.

"Pihak berkepentingan di hujung sana, syarikat penerbangan dalam kes ini, atau platform tiket, apa jua ia, mereka tiada kaedah untuk mengesahkan sama ada seorang manusia yang boleh dipertanggungjawabkan berada di belakang transaksi itu," katanya.

"Dan itu boleh membuka pintu kepada penipuan, bot bertindak sebagai manusia, ejen beroperasi tanpa sebarang akauntabiliti."

Beliau meletakkan jangka masa: "Kita mungkin enam hingga dua belas bulan lagi di mana transaksi ini mungkin mengatasi transaksi manusia-ke-manusia, dan oleh itu akauntabiliti manusia-ke-ejen ialah masalah terbesar yang saya fikir dunia perlu selesaikan."

Poin untuk pelabur ialah pasaran penipuan hari ini bergantung kepada identiti manusia yang dicuri, dan pasaran seterusnya bergantung kepada identiti mesin, ejen berbelanja tanpa manusia dalam gelung untuk dipersalahkan.

Mengapa VPN menjadi produk pertahanan terhadap penipuan

NordVPN telah berkembang daripada sekadar VPN kepada pakej pertahanan penipuan, dan Briedis berkata kebocoran yang sering diabaikan ialah kuk sesi.

"Ramai orang suka log masuk ke akaun mereka dan hanya melupakannya. Mereka tidak suka log keluar. Dan biasanya itulah masalahnya kerana jika kuk itu terhasil dan ia bocor melalui pencuri maklumat atau perisian hasad atau apa saja, kuk itu boleh digunakan dengan teknik berbeza untuk log masuk ke akaun anda dan mengambil alih data anda," katanya.

Penanda arasnya untuk menghantar ciri bukan teknikal. "Jaminan kualiti terbesar dan terbaik produk kami ialah ibu saya," katanya.

"Jika ciri itu terlalu teknikal dan dia tidak faham cara menggunakannya, itu petunjuk yang baik sama ada kami patut melancarkannya atau tidak."

Peralihan itu juga berkaitan margin. VPN berdiri sendiri kini menjadi komoditi berperang harga, manakala perlindungan identiti dan penipuan lebih melekat dan bernilai lebih tinggi, berkait terus dengan butiran bank pelanggan.

Anggaran pasaran bagi perlindungan kecurian identiti berada di antara kira-kira $14 bilion hingga $17 bilion pada 2025, dengan kebanyakan ramalan menunjukkan pertumbuhan tahunan dua digit rendah.

Isyarat itu muncul pada April 2025, apabila Gen Digital, yang menggabungkan Norton dengan Avast pada 2022, membayar kira-kira $1 bilion untuk aplikasi kewangan pengguna MoneyLion, menambah alat perbankan dan kredit kepada perniagaan perlindungan identitinya. Taruhan "lebih daripada VPN" Nord adalah pertaruhan yang sama dari pihak persendirian.

Syarikat Vilnius itu, dinilai terakhir pada $3 bilion dalam pusingan Warburg Pincus 2023, bersaing dengan Gen Digital dan McAfee, manakala ExpressVPN, Surfshark, dan Proton kekal sebagai pesaing VPN langsung.

Briedis berkata kepercayaan ialah 'moat', dan itulah yang membezakan penyedia berbayar daripada kumpulan penyedia percuma.

"Ada VPN percuma, banyak VPN percuma," katanya, mempersoalkan bagaimana mereka mengekalkan infrastruktur mereka: "mungkin mereka melakukan sesuatu dengan data, kita tidak tahu."

Jawabnya ialah audit tahunan: "Kami menjalankan audit tiada-log setiap tahun. Kami bermula sebagai VPN pertama dalam industri yang melakukan itu."

Risiko peraturan yang pelabur perlu pantau

Menjual privasi membawa kos politik. Briedis berkata Nord telah menarik diri dari pasaran tertentu daripada menyimpan data pengguna.

"Sesetengah pihak mahu mendapatkan data itu untuk mendapat akses," katanya. "Kami tidak akan beroperasi di negara itu secara umum; kami hanya mengeluarkan pelayan kami dari sana."

India adalah contoh paling jelas: peraturan CERT-In 2022 mengarahkan penyedia VPN menyimpan data pelanggan sehingga lima tahun, dan NordVPN, ExpressVPN, Surfshark, Proton dan Hide.me semua mengeluarkan pelayan India mereka daripada pematuhan tersebut.

Bagi perniagaan yang berjanji tidak menyimpan apa-apa, undang-undang penyimpanan data lebih merupakan notis pengusiran daripada kos.

Tidak semua orang melihat privasi sama seperti Briedis. Kabra membezakan secara tegas antara privasi dan ketiadaan nama:

"Saya sentiasa menganggap privasi dan tanpa nama sebagai perkara yang berbeza sepenuhnya," katanya, berhujah bahawa akaun boleh membawa pautan manusia yang disahkan sementara bukti sifar-pengetahuan menyimpan identiti tersembunyi.

Itu adalah naluri yang bertentangan dengan VPN tiada-log yang dibina untuk tidak mengetahui apa-apa langsung.

Apa maknanya bagi pelabur

Bagi pelabur, ia adalah pergeseran permintaan: AI memotong kos serangan lebih cepat daripada pengguna meningkatkan kawalan mereka, dan wang bergerak dari VPN biasa ke arah pakej perlindungan identiti, anti-scam dan perlindungan dark-web.

Briedis menggambarkannya sebagai pertarungan tanpa garisan penamat: apa jua pertahanan, penyerang juga berkembang, katanya, menyifatkannya sebagai "pertarungan yang tiada penghujung."

Kesimpulannya ialah perisian hanyalah separuh daripadanya. "Ia sekali lagi mengenai pendidikan ... bagaimana anda berkelakuan," katanya.

"Biasanya semua skim itu berkisar tentang rasa tergesa-gesa, cuba menolak anda ke dalam tindakan yang anda tidak patut lakukan dalam tingkah laku normal anda sendiri."