AI sprawia, że oszustwa są niemal darmowe do skalowania, ostrzega CTO NordVPN

Zestaw działających skradzionych poświadczeń — służbowy e-mail, aktywna karta kredytowa i dowód tożsamości — kosztuje teraz około $19, według badań NordVPN.

Osoby zarządzające cyberbezpieczeństwem konsumenckim twierdzą, że AI sprawiło, iż zarówno kradzież, jak i wynikające z niej oszustwa stały się niemal darmowe do skalowania.

Dla inwestorów oznacza to cichą transformację biznesu VPN z towaru w bardziej wartościową walkę o tożsamość i przeciwdziałanie oszustwom.

Marijus Briedis, dyrektor ds. technologii w NordVPN, powiedział w podcaście On The Margin, że skradzione tożsamości są dziś zadziwiająco tanie.

Powołując się na ostatnie badania NordVPN na Litwie, powiedział, że niewiele kosztuje "zdobycie działającego służbowego e-maila, aktywnej karty kredytowej i jakiegoś dowodu tożsamości; teraz to około $19."

Powodem jest skala. "Te wycieki zdarzają się praktycznie codziennie" — mówił. "Działasz na poziomie danych i, szczerze mówiąc, po prostu to ignorujesz. Łączysz te dane z różnych źródeł i pakujesz w koszyk ... nową bazę danych, i próbujesz sprzedać to jak najwięcej."

Zgłaszane straty już osiągnęły rekordowy poziom. Roczny raport IC3 FBI policzył $16.6 billion w cyberprzestępczości w 2024 r., co oznacza wzrost o 33% rok do roku, a Centrum Usług Finansowych Deloitte spodziewa się, że oszustwa generowane przez AI osiągną $40 billion w USA do 2027 r., wobec $12.3 billion w 2023 r.

Dlaczego AI uprzemysłowiło oszustwa

Narzędzia stały się niemal bezkosztowe. Założenie fałszywego sklepu w celu wyłudzenia danych karty, powiedział Briedis, "to teraz dosłownie kwestia dziesięciu minut, łącznie z zakupem domeny, wystawieniem strony i wypchnięciem jej na produkcję, jak to nazywamy."

To — powiedział — tłumaczy, dlaczego kampanie oszustw i phishingu skalują się "wykładniczo", szczególnie wokół Black Friday, i spodziewa się, że narzędzia AI będą napędzać to "praktycznie wykładniczo" dalej.

Kolejnym frontem jest głos, i jak powiedział, już działa.

"Istnieją już zaawansowane ataki, w których najpierw próbują zadzwonić do twojego krewnego, by uzyskać próbkę twojego głosu i sposobu mówienia, a następnie wykorzystują ten wygenerowany przez AI głos, by zadzwonić do twojego krewnego i próbować cię oszukać" — mówił Briedis. Spodziewa się, że oszustwa będą dalej łączyć "tekst, głos, wideo."

To już kosztowało firmy realne pieniądze. Briedis wskazał sprawę z 2024 r. w Arup, londyńskiej grupie inżynieryjnej, w której pracownik finansowy w Hongkongu przelał $25.6 million po rozmowie wideo, w której wszyscy pozostali uczestnicy byli wygenerowanymi przez AI deepfake'ami.

"Księgowy został wciągnięty w wysłanie dwudziestu pięciu milionów oszustom, ponieważ był na spotkaniu Zoom ze wszystkimi dyrektorami w tym czasie" — powiedział.

Automatyzacja budzi niepokój innych w branży. Varun Kabra, dyrektor ds. wzrostu w skoncentrowanym na tożsamości blockchainie Concordium i były menedżer w firmie zajmującej się prywatnością Proton, powiedział w tym samym podcaście, że agenci AI zaczynają zawierać transakcje w imieniu ludzi i nikt nie jest w stanie zobaczyć, kto naprawdę stoi za nimi.

"Kontrahent po drugiej stronie, w tym przypadku linie lotnicze lub platforma biletowa — cokolwiek to jest — nie ma sposobu zweryfikowania, czy za transakcją stoi realna, odpowiedzialna osoba," — powiedział.

"I to może otworzyć drzwi do oszustw: boty podszywające się pod ludzi, agenci działający bez odpowiedzialności."

Wyznaczył termin: "Prawdopodobnie jesteśmy sześć do dwunastu miesięcy od momentu, gdy te transakcje mogą przewyższyć transakcje człowiek–człowiek, i dlatego odpowiedzialność człowiek–agent będzie największym problemem, który, moim zdaniem, świat musi rozwiązać."

Dla inwestorów sedno jest takie: dzisiejszy rynek oszustw opiera się na skradzionych tożsamościach ludzkich, a następny będzie opierać się na tożsamościach maszynowych — agenci wydający środki bez udziału człowieka, którego można obarczyć winą.

Dlaczego VPN staje się produktem obrony przed oszustwami

NordVPN poszerzył ofertę z samego VPN-a do pakietu obrony przed oszustwami, a Briedis powiedział, że pomijaną luką jest ciasteczko sesyjne.

"Wiele osób lubi logować się na konto i po prostu o tym zapominać. Nie lubią się wylogowywać. I zwykle to jest problem, bo jeśli ciasteczko zostanie wygenerowane i wycieknie przez programy wykradające dane, malware czy cokolwiek innego, to ciasteczko może zostać użyte różnymi technikami do zalogowania się na twoje konto i przejęcia twoich danych," — powiedział.

Jego miarą gotowości funkcji nie jest aspekt techniczny. "Największym i najlepszym testem jakości naszego produktu jest moja mama," — powiedział.

"Jeśli funkcja jest zbyt geekowska i ona nie rozumie, jak jej używać, to naprawdę dobry wskaźnik, czy powinniśmy ją wypuścić, czy nie."

Ten zwrot to też historia marży. Samodzielny VPN to teraz towar podlegający wojnie cenowej, podczas gdy ochrona tożsamości i przed oszustwami zapewnia trwalsze i wyżej wycenione źródło przychodów, powiązane z danymi bankowymi klienta.

Szacunki rynkowe dla ochrony przed kradzieżą tożsamości wahają się od około $14 billion do $17 billion w 2025 r., przy czym większość prognoz wskazuje na roczny wzrost w niskim dwucyfrowym zakresie.

Przełom nastąpił w kwietniu 2025 r., kiedy Gen Digital, która połączyła Norton z Avast w 2022 r., zapłaciła około $1 billion za aplikację finansów konsumenckich MoneyLion, dodając narzędzia bankowe i kredytowe do biznesu ochrony tożsamości. "Więcej niż VPN" Norda to ta sama stawka po stronie prywatnej.

Ta wileńska firma, wyceniona ostatnio na $3 billion w rundzie Warburg Pincus w 2023 r., konkuruje z Gen Digital i McAfee, podczas gdy ExpressVPN, Surfshark i Proton pozostają bezpośrednimi rywalami w segmencie VPN.

Briedis powiedział, że przewagą konkurencyjną jest zaufanie, i to ono odróżnia płatnego dostawcę od tłumu darmowych.

"Są darmowe VPN-y, wiele darmowych VPN-ów," — mówił, kwestionując, w jaki sposób utrzymują infrastrukturę: "może robią coś z danymi, nie wiemy."

Jego odpowiedź to coroczny audyt: "Przeprowadzamy audyty potwierdzające brak logów co roku. Byliśmy pierwszym VPN-em w branży, który to robił."

Ryzyko regulacyjne, które inwestorzy powinni śledzić

Sprzedawanie prywatności pociąga za sobą koszt polityczny. Briedis powiedział, że Nord wycofał się z całych rynków, zamiast przechowywać dane użytkowników.

"Niektórzy chcą uzyskać dostęp do tych danych," — powiedział. "Zazwyczaj nie będziemy działać w takim kraju; po prostu usuwamy tam nasze serwery."

Indie są najczystszym przykładem: zasady CERT-In z 2022 r. nakazały dostawcom VPN przechowywać dane klientów do pięciu lat, a NordVPN, ExpressVPN, Surfshark, Proton i Hide.me wszystkie usunęły swoje serwery w Indiach, zamiast się dostosować.

Dla firmy, której obietnicą jest, że nic nie przechowuje, prawo nakazujące przechowywanie danych jest bardziej wypowiedzeniem niż kosztem.

Nie wszyscy postrzegają prywatność tak jak Briedis. Kabra rysuje wyraźną granicę między prywatnością a anonimowością:

"Zawsze uważam prywatność i anonimowość za zupełnie inne rzeczy," — powiedział, argumentując, że konto może mieć potwierdzone powiązanie z człowiekiem, podczas gdy dowody zerowej wiedzy (zero-knowledge proofs) utrzymują tożsamość w ukryciu.

To przeciwieństwo podejścia VPN-ów typu no-logs, które mają nie wiedzieć nic o użytkownikach.

Co to oznacza dla inwestorów

Dla inwestorów to przesunięcie popytu: AI obniża koszty ataków szybciej niż użytkownicy podnoszą swoją czujność, a pieniądze przesuwają się z samych VPN-ów w kierunku zintegrowanych pakietów ochrony tożsamości, przed oszustwami i przed zagrożeniami z dark webu.

Briedis określa to jako walkę bez linii końcowej: niezależnie od obrony atakujący również ewoluują, nazywając to "niekończącą się bitwą."

W jego ocenie software to tylko połowa. "Chodzi ponownie o edukację ... o to, jak się zachowujesz," — powiedział.

"Zazwyczaj wszystkie te schematy opierają się na poczuciu pilności — próbują sprowokować cię do działania, którego normalnie byś nie wykonał."