AI maakt fraude vrijwel gratis schaalbaar, waarschuwt CTO van NordVPN

Een werkende set gestolen inloggegevens, een zakelijk e-mailadres, een werkende creditcard en een identiteitsbewijs kost nu ongeveer $19, volgens onderzoek van NordVPN.

De mensen die consumenten-cybersecurity runnen zeggen dat AI zowel de diefstal als de daaropvolgende fraude bijna gratis schaalbaar heeft gemaakt.

Voor beleggers verandert dat stilletjes een commodity VPN-business in een waardevollere strijd om identiteit en fraude.

Marijus Briedis, chief technology officer van NordVPN, zei in de podcast On The Margin dat gestolen identiteiten nu schrikbarend goedkoop zijn.

Volgens recent onderzoek van NordVPN in Litouwen zei hij dat het weinig kost "om een werkend zakelijk e-mailadres, een werkende creditcard en een of andere ID te krijgen; het kost tegenwoordig ongeveer $19."

De reden is schaal. "Die lekken gebeuren tegenwoordig eigenlijk bijna elke dag," zei hij. "Je opereert op dataniveau, en eerlijk gezegd kan het je niet schelen. Je combineert die data gewoon uit verschillende bronnen en stopt het in een mandje ... een nieuwe database, en je probeert het zo veel mogelijk te verkopen."

De gerapporteerde verliezen bereiken al recordhoogtes. Het jaarlijkse IC3-rapport van de FBI telde $16,6 miljard aan cybercriminaliteit in 2024, een stijging van 33% ten opzichte van het voorgaande jaar, en het Center for Financial Services van Deloitte verwacht dat door generatieve AI veroorzaakte fraude in de VS zal oplopen tot $40 miljard in 2027, van $12,3 miljard in 2023.

Waarom AI fraude industrialiseert

De tooling is bijna tot niets teruggebracht. Een nepwinkel opzetten om kaartgegevens te oogsten, zei Briedis, "is tegenwoordig gewoon een klus van tien minuten, inclusief het kopen van het domein, het plaatsen van de website en het live zetten ervan."

Dat, zei hij, is waarom oplichtings- en phishingcampagnes "exponentieel" opschalen, vooral rond Black Friday, en hij verwacht dat AI-tools het vanaf hier "in wezen exponentieel" zullen aanjagen.

Het volgende front is spraak, en dat is volgens hem al aan de gang.

"Er zijn al geavanceerde aanvallen waarbij mensen eerst proberen je familielid te bellen om je stem en manier van spreken te bemachtigen, en daarna die door AI gegenereerde stem gebruiken om je familielid te bellen en je te proberen op te lichten," zei Briedis. Hij verwacht dat fraude "tekst, spraak, video" zal blijven combineren.

Het heeft bedrijven al echt geld gekost. Briedis wees op de zaak in 2024 bij Arup, de Londense ingenieursgroep, waarvan een financieel medewerker in Hongkong $25,6 miljoen overmaakte na een videogesprek waarin alle andere deelnemers AI-gegenereerde deepfakes waren.

"De accountant werd verleid om vijfentwintig miljoen naar de oplichters over te maken omdat hij op dat moment in de Zoom-vergadering met alle bestuurders zat," zei hij.

De geautomatiseerde frontier baart anderen in het veld zorgen. Varun Kabra, chief growth officer bij het op identiteit gerichte blockchainbedrijf Concordium en voormalig bestuurder bij privacybedrijf Proton, zei in dezelfde podcast dat AI-agents beginnen namens mensen transacties uit te voeren, en niemand kan zien wie er echt achter zit.

"De tegenpartij aan de andere kant, de luchtvaartmaatschappij in dit geval, of het ticketplatform, wat het ook is, heeft geen manier om te verifiëren dat er een echt verantwoordelijke mens achter de transactie zit," zei hij.

"En dat zou een deur kunnen openen voor fraude: bots die zich als mensen voordoen, agents die opereren zonder verantwoordelijkheid."

Hij zette er een termijn op: "We zitten waarschijnlijk zes tot twaalf maanden verwijderd van het moment waarop deze transacties de mens-tot-menstransacties kunnen overtreffen, en daarom is de aansprakelijkheid van mens-naar-agent het grootste probleem dat de wereld naar mijns inziens moet oplossen."

Het punt voor beleggers is dat de huidige fraudemarkt draait op gestolen menselijke identiteiten, en de volgende markt draait op machine-identiteit, agents die uitgeven zonder dat er een mens in de lus is om de schuld te krijgen.

Waarom de VPN een fraudeverdedigingsproduct wordt

NordVPN is uitgegroeid van een VPN tot een pakket voor fraudeverdediging, en Briedis zei dat het over het hoofd geziene lek de sessiecookie is.

"Veel mensen loggen graag in op hun account en vergeten het daarna. Ze loggen niet uit. En meestal is dat het probleem, want als de cookie gegenereerd wordt en via info-stealers of malware of wat dan ook gelekt wordt, kan die cookie met verschillende technieken worden gebruikt om in te loggen op je account en je gegevens over te nemen," zei hij.

Zijn meetlat voor het uitrollen van een functie is niet technisch. "De grootste en beste kwaliteitscontrole van ons product is mijn moeder," zei hij.

"Als de functie te geeky is en ze niet begrijpt hoe ze het moet gebruiken, is dat een heel goede indicator of we het wel of niet moeten doorvoeren."

De strategiewijziging is ook een margeverhaal. Een losse VPN is nu een prijsgevoelige commodity, terwijl identiteits- en fraudebescherming plakkeriger en waardevoller is, gekoppeld aan de bankgegevens van de klant.

Marktinschattingen voor identiteitsdiefstalbescherming lopen voor 2025 grofweg van $14 miljard tot $17 miljard, waarbij de meeste prognoses wijzen op laag-twee-cijferige jaarlijkse groei.

De aanwijzing kwam in april 2025, toen Gen Digital, dat Norton met Avast in 2022 samensmolt, ongeveer $1 miljard betaalde voor de consument-financiële app MoneyLion, waarmee bank- en krediettools aan zijn identiteitsbeschermingsportfolio werden toegevoegd. Nord's "more than VPN" is dezelfde weddenschap aan de private kant.

Dat bedrijf uit Vilnius, laatst gewaardeerd op $3 miljard in een Warburg Pincus-ronde in 2023, concurreert met Gen Digital en McAfee, terwijl ExpressVPN, Surfshark en Proton de directe VPN-concurrenten blijven.

Briedis zei dat het concurrentievoordeel vertrouwen is, en dat dat is wat een betaalde aanbieder scheidt van de massa gratis aanbieders.

"Er zijn gratis VPN's, veel gratis VPN's," zei hij, en vroeg zich af hoe zij hun infrastructuur draaiende houden: "misschien doen ze iets met de data, we weten het niet."

Zijn eigen antwoord is een jaarlijkse audit: "Wij voeren elk jaar no-logs audits uit. We begonnen als de eerste VPN in de sector daarmee."

Het regelgevingsrisico dat beleggers moeten volgen

Privacy verkopen brengt politieke kosten met zich mee. Briedis zei dat Nord liever hele markten verlaat dan gebruikersgegevens op te slaan.

"Sommige mensen willen die data om toegang te krijgen," zei hij. "We gaan in het algemeen niet in dat land opereren; we verwijderen gewoon onze servers daar."

India is het duidelijkste voorbeeld: de CERT-In-regels uit 2022 verplichtten VPN-aanbieders om klantgegevens tot vijf jaar te bewaren, en NordVPN, ExpressVPN, Surfshark, Proton en Hide.me trokken hun Indiase servers terug in plaats van te voldoen.

Voor een bedrijf waarvan de belofte is niets te bewaren, is een wet op gegevensbewaring minder een kostenpost dan een uitzettingsbrief.

Niet iedereen ziet privacy zoals Briedis. Kabra maakt een scherp onderscheid tussen privacy en anonimiteit:

"Ik beschouw privacy en anonimiteit altijd als compleet verschillende dingen," zei hij, en betoogde dat een account een geverifieerde menselijke koppeling kan dragen terwijl zero-knowledge-bewijzen de identiteit verborgen houden.

Dat is het tegengestelde instinct van een no-logs-VPN die is gebouwd om helemaal niets te weten.

Wat het betekent voor beleggers

Voor beleggers is het een vraagverschuiving: AI verlaagt de aanvalskosten sneller dan gebruikers hun waakzaamheid verhogen, en het geld verplaatst zich van simpele VPN's naar gebundelde bescherming voor identiteit, scam- en darkweb-bescherming.

Briedis schetst het als een strijd zonder finishlijn: wat de verdediging ook is, de aanvallers evolueren ook, zei hij, en noemde het een "nooit eindigende strijd."

Zijn conclusie is dat de software slechts de helft van de oplossing is. "Het gaat opnieuw om educatie ... hoe je je gedraagt," zei hij.

"Gewoonlijk draait het bij al die trucs om urgentie: ze proberen je tot een actie te dwingen die je normaal niet zou ondernemen."