IA está tornando a fraude quase gratuita para escalar, alerta CTO da NordVPN

Segundo pesquisa da NordVPN, um conjunto funcional de credenciais roubadas — e-mail corporativo, cartão de crédito ativo e um documento de identidade — agora custa cerca de US$19.

Executivos de segurança cibernética para consumidores afirmam que a IA tornou tanto o roubo quanto a fraude subsequente quase gratuitos para escalar.

Para investidores, isso está transformando discretamente o negócio de VPN — tratado como commodity — numa disputa de maior valor em torno de identidade e fraude.

Marijus Briedis, diretor de tecnologia (CTO) da NordVPN, disse ao podcast On The Margin que identidades roubadas estão agora surpreendentemente baratas.

Citando pesquisa recente da NordVPN na Lituânia, ele afirmou que custa pouco "conseguir um e-mail corporativo funcional, um cartão de crédito válido e algum tipo de documento de identidade; hoje em dia é cerca de US$19."

O motivo é a escala. "Esses vazamentos acontecem basicamente todo dia atualmente", disse ele. "Você está operando em nível de dados e, basicamente, você não se importa, honestamente. Você apenas combina esses dados de diferentes fontes e os coloca em um cesto ... um novo banco de dados, e tenta vendê-los o máximo possível."

As perdas reportadas já atingiram níveis recordes. O relatório anual do IC3 do FBI contabilizou US$16,6 bilhões em crimes cibernéticos em 2024, alta de 33% no ano, e o Center for Financial Services da Deloitte espera que a fraude por IA generativa chegue a US$40 bilhões nos EUA até 2027, ante US$12,3 bilhões em 2023.

Por que a IA industrializou a fraude

As ferramentas se reduziram a quase nada. Montar uma loja falsa para colher dados de cartão, disse Briedis, "é hoje um trabalho de uns dez minutos, incluindo comprar o domínio, colocar o site, enviar para a produção, como nós chamamos."

Isso, disse ele, é o porquê de campanhas de golpe e phishing escalarem "exponencialmente", especialmente em torno da Black Friday, e ele espera que as ferramentas de IA as empurrem "basicamente de forma exponencial" a partir daqui.

A próxima frente é a voz, e ele disse que isso já está em andamento.

"Já existem ataques avançados em que as pessoas primeiro tentam ligar para um parente seu para capturar sua voz e a maneira como você fala, e então usam essa voz gerada por IA para ligar para o seu parente e tentar te aplicar um golpe", disse Briedis. Ele espera que a fraude continue a combinar "texto, voz, vídeo."

Isso já custou dinheiro real às empresas. Briedis apontou o caso de 2024 na Arup, o grupo de engenharia de Londres, cujo funcionário de finanças em Hong Kong transferiu US$25,6 milhões após uma chamada de vídeo em que todos os demais participantes eram deepfakes gerados por IA.

"O contador foi induzido a enviar vinte e cinco milhões aos golpistas porque ele estava na reunião do Zoom com todos os executivos na ocasião", disse ele.

A fronteira automatizada preocupa outros no setor. Varun Kabra, chief growth officer da blockchain focada em identidade Concordium e ex-executivo da empresa de privacidade Proton, disse no mesmo podcast que agentes de IA estão começando a transacionar em nome de pessoas, e ninguém consegue ver quem está realmente por trás deles.

"A contraparte do outro lado, a companhia aérea neste caso, ou a plataforma de venda de ingressos, seja o que for, não tem como verificar se há um humano responsável real por trás da transação", disse ele.

"E isso pode abrir a porta para fraude, bots agindo como humanos, agentes operando sem responsabilidade."

Ele colocou um prazo: "Provavelmente estamos a seis a doze meses de distância de que essas transações possam superar as transações humano-para-humano, e, portanto, a responsabilização do humano em relação ao agente é o maior problema que eu penso que o mundo precisa resolver."

O ponto para investidores é que o mercado de fraudes de hoje roda em identidades humanas roubadas, e o próximo rodará em identidade de máquina, agentes gastando sem um humano no loop para responsabilizar.

Por que a VPN está se tornando um produto de defesa contra fraudes

A NordVPN ampliou seu portfólio de VPN para um pacote de defesa contra fraudes, e Briedis disse que a lacuna negligenciada é o cookie de sessão.

"Muita gente gosta de fazer login na conta e simplesmente esquecer. Não gostam de sair da sessão. E geralmente esse é o problema porque, se o cookie é gerado e vazado por infostealers ou malware ou o que for, esse cookie pode ser usado com diferentes técnicas para entrar na sua conta e tomar seus dados", disse ele.

Seu critério para lançar um recurso não é técnico. "O maior e melhor controle de qualidade do nosso produto é a minha mãe", disse ele.

"Se o recurso for muito geek e ela não entender como usá‑lo, isso é um indicador muito bom sobre se devemos lançá‑lo ou não."

A mudança estratégica é também uma história de margem. Uma VPN independente agora é uma commodity em guerra de preços, enquanto proteção de identidade e contra fraudes é mais aderente e de maior valor, atrelada aos dados bancários do cliente.

Estimativas de mercado para proteção contra roubo de identidade variam de cerca de US$14 bilhões a US$17 bilhões em 2025, com a maioria das previsões apontando para crescimento anual de dígitos baixos duplos.

O sinal veio em abril de 2025, quando a Gen Digital, que fundiu a Norton com a Avast em 2022, pagou cerca de US$1 bilhão pelo aplicativo financeiro para consumidores MoneyLion, agregando ferramentas bancárias e de crédito ao seu negócio de proteção de identidade. O "mais que VPN" da Nord é a mesma aposta do lado privado.

Essa empresa de Vilnius, avaliada pela última vez em US$3 bilhões numa rodada com a Warburg Pincus em 2023, compete com Gen Digital e McAfee, enquanto ExpressVPN, Surfshark e Proton permanecem rivais diretos de VPN.

Briedis disse que o fosso competitivo é a confiança, e que é isso que separa um provedor pago da multidão de opções gratuitas.

"Existem VPNs gratuitas, muitas VPNs gratuitas", disse ele, questionando como elas mantêm a infraestrutura em funcionamento: "talvez estejam fazendo algo com os dados, não sabemos."

Sua resposta é uma auditoria anual: "Fazemos auditorias de não‑registro todos os anos. Começamos como a primeira VPN na indústria a fazer isso."

O risco regulatório que os investidores devem acompanhar

Vender privacidade tem um custo político. Briedis disse que a Nord optou por sair de mercados inteiros em vez de armazenar dados de usuários.

"Algumas autoridades querem obter esses dados para ter acesso", disse ele. "Nós não vamos operar naquele país em geral; simplesmente removemos nossos servidores de lá."

O caso mais claro é a Índia: suas regras do CERT-In de 2022 obrigavam provedores de VPN a manter dados de clientes por até cinco anos, e NordVPN, ExpressVPN, Surfshark, Proton e Hide.me retiraram seus servidores indianos em vez de cumprir.

Para um negócio cuja promessa é não reter nada, uma lei de retenção de dados é menos um custo do que uma notificação de despejo.

Nem todos enquadram privacidade da mesma forma que Briedis. Kabra traça uma linha dura entre privacidade e anonimato:

"Eu sempre penso em privacidade e anonimato como coisas completamente diferentes", disse ele, argumentando que uma conta pode ter vínculo verificado a um humano enquanto provas de conhecimento zero (zero‑knowledge proofs) mantêm a identidade oculta.

Esse é o impulso oposto ao de uma VPN sem logs construída para não saber nada.

O que isso significa para investidores

Para investidores, é uma mudança na demanda: a IA está reduzindo os custos de ataque mais rápido do que os usuários elevam sua cautela, e o dinheiro está migrando de VPNs puras para pacotes que incluem proteção de identidade, defesa contra golpes e monitoramento da dark web.

Briedis enquadra isso como uma luta sem linha de chegada: qualquer que seja a defesa, os atacantes também evoluem, disse ele, chamando isso de "batalha sem fim."

Sua conclusão é que o software é apenas metade da equação. "É, de novo, sobre educação ... como você se comporta", disse ele.

"Geralmente todos esses esquemas tratam da urgência, tentando empurrar você para alguma ação que você não tomaria no seu comportamento normal."