NordVPN CTO: Yapay zeka dolandırıcılığı ölçeklendirmeyi neredeyse ücretsiz hale getiriyor

NordVPN araştırmasına göre, çalışan bir çalınmış kimlik seti — bir iş e-postası, geçerli bir kredi kartı ve bir kimlik — artık yaklaşık $19'a satılıyor.

Tüketici siber güvenliğini yönetenler, yapay zekanın hem hırsızlığı hem de ardından gelen dolandırıcılığı ölçeklendirmeyi neredeyse ücretsiz hale getirdiğini söylüyor.

Yatırımcılar için bu, bir emtia VPN işini sessizce kimlik ve dolandırıcılığa yönelik daha yüksek değerli bir mücadeleye dönüştürüyor.

NordVPN'in teknoloji sorumlusu (CTO) Marijus Briedis, On The Margin podcast'inde çalınmış kimliklerin artık şok edici derecede ucuz olduğunu söyledi.

Litvanya'daki son NordVPN araştırmasına atıfta bulunarak, "çalışır durumda bir iş e-postası, geçerli bir kredi kartı ve bir tür kimlik almak pahalıya mal olmuyor; bugünlerde bu yaklaşık $19" dedi.

Neden ölçek. "Bu tür sızıntılar neredeyse her gün oluyor" dedi. "Veri düzeyinde çalışıyorsunuz ve dürüst olmak gerekirse umursamıyorsunuz. Farklı kaynaklardan bu verileri birleştiriyorsunuz ve bir sepete koyuyorsunuz ... yeni bir veritabanı ve sonra mümkün olduğunca satmaya çalışıyorsunuz."

Bildirilen zararlar zaten rekor seviyede. FBI'ın IC3 yıllık raporu 2024'te siber suçta 16.6 milyar dolar saydı, yıllık bazda %33 artışla, ve Deloitte'un Finans Hizmetleri Merkezi, üretken-yapay zekâ destekli dolandırıcılığın 2023'te 12.3 milyar dolardan 2027'de ABD'de 40 milyar dolara ulaşmasını bekliyor.

Yapay zekanın dolandırıcılığı sanayileştirmesinin nedeni

Araçlar neredeyse hiçbir şeye indi. Kart bilgilerini toplamak için sahte bir mağaza kurmak, Briedis'e göre, "alan adını almak, siteyi kurmak, üretime (prod) itmek dahil olmak üzere bugünlerde on dakikalık bir iş gibi."

Bu yüzden dolandırıcılık ve oltalama kampanyaları özellikle Black Friday civarında "üstel" şekilde ölçekleniyor, dedi ve AI araçlarının bundan sonra da "temelde üstel" olarak iteceğini bekliyor.

Sıradaki cephe ses ve bunun zaten çalıştığını söyledi.

"İleri düzey saldırılar var; önce akrabalarınızı arayıp sesinizi ve konuşma tarzınızı almaya çalışıyorlar, sonra o yapay zeka ile üretilmiş sesi kullanarak akrabanızı arayıp sizi dolandırmaya çalışıyorlar," dedi Briedis. Dolandırıcılığın "metin, ses, video"yu birleştirmeye devam etmesini bekliyor.

Bu şirketlere gerçek maliyete mal oldu. Briedis, Londra mühendislik grubu Arup'ta 2024'te yaşanan vakaya işaret etti; Hong Kong'daki bir finans çalışanı, diğer tüm katılımcıların yapay zeka üretimi deepfake olduğu bir görüntülü görüşmenin ardından 25.6 milyon dolar gönderdi.

"Muhasebeci, o sırada tüm yöneticilerin bulunduğu Zoom toplantısında olduğu için dolandırıcılara yirmi beş milyon göndermeye kandırıldı," dedi.

Otomasyon sınırı alandaki diğerlerini endişelendiriyor. Kimlik odaklı blok zinciri Concordium'da büyümeden sorumlu başkan yardımcısı ve eski gizlilik firması Proton yöneticisi Varun Kabra, aynı podcast'te, AI ajanlarının insanların yerine işlem yapmaya başladığını ve artık gerçekten arkasında kimin olduğunu kimsenin göremediğini söyledi.

"Karşı taraftaki muhatap, bu durumda havayolu ya da bilet platformu olsun, işlemin arkasında gerçek, hesap verebilir bir insan olup olmadığını doğrulayacak hiçbir yola sahip değil," dedi.

"Ve bu dolandırıcılığa kapı açabilir; insan gibi hareket eden botlar, hesap verebilirlik olmadan çalışan ajanlar."

Bunu bir zaman çizelgesine koydu: "Muhtemelen altı ile on iki ay içinde bu tür işlemler insan-insan işlemlerini geçebilir ve bu nedenle insan-ajans hesap verebilirliği bence dünyanın çözmesi gereken en büyük sorun olacak."

Yatırımcılar için nokta şu: bugünün dolandırıcılık pazarı çalınmış insan kimlikleri üzerinde dönüyor ve bir sonraki dalga makine kimliği üzerine; arkada suçlayacak insan olmayan ajanların harcama yapmasıyla.

Neden VPN bir dolandırıcılık savunma ürününe dönüşüyor

NordVPN bir VPN'den dolandırıcılık savunma paketine genişledi ve Briedis gözden kaçan deliğin oturum çerezi olduğunu söyledi.

"Birçok insan hesabına giriş yapıp unutmaktan hoşlanıyor. Çıkış yapmayı sevmiyorlar. Genellikle sorun da bu çünkü çerez oluşturulursa ve bilgi çalan yazılımlar, kötü amaçlı yazılımlar veya başka bir yol aracılığıyla sızdırılırsa, o çerez farklı tekniklerle hesabınıza giriş yapmak ve verilerinizi ele geçirmek için kullanılabilir," dedi.

Bir özelliği piyasaya sürme kriteri teknik değil. "Ürünümüzün en büyük ve en iyi kalite güvencesi annemdir," dedi.

"Eğer özellik çok teknikselse ve annem nasıl kullanacağını anlamıyorsa, bu özelliği sunmamamız gerektiğine dair gerçekten iyi bir gösterge."

Bu dönüş aynı zamanda marj hikayesi. Bağımsız bir VPN artık fiyat savaşı veren bir emtia iken, kimlik ve dolandırıcılık koruması daha yapışkan ve daha yüksek değerli; müşterinin banka bilgilerine bağlı.

Kimlik hırsızlığı koruması için piyasa tahminleri 2025'te yaklaşık 14 milyar ila 17 milyar dolar arasında değişiyor ve çoğu öngörü düşük onlu yıllık büyüme gösteriyor.

İpucu Nisan 2025'te geldi; 2022'de Norton ile Avast'ı birleştiren Gen Digital, tüketici finans uygulaması MoneyLion için yaklaşık 1 milyar dolar ödedi ve kimlik koruma işine bankacılık ve kredi araçları ekledi. Nord'un "sıradan VPN'den fazlası" özel taraftan aynı bahis.

Vilnius merkezli o firma, 2023'teki Warburg Pincus turunda son olarak 3 milyar dolar değer biçildi ve Gen Digital ile McAfee ile rekabet ediyor; ExpressVPN, Surfshark ve Proton doğrudan VPN rakipleri olarak kalıyor.

Briedis'e göre fark 'hendek' güvendir ve ücretsiz sağlayıcı kalabalığından ücretli sağlayıcıyı ayıran da bu.

"Ücretsiz VPN'ler var, çok sayıda ücretsiz VPN," dedi ve altyapılarını nasıl çalıştırdıklarını sorguladı: "belki verilerle bir şey yapıyorlardır, bilmiyoruz."

Kendi cevabı yıllık denetim: "Her yıl kayıt tutmama (no-logs) denetimleri yapıyoruz. Sektörde bunu yapan ilk VPN olarak başladık."

Yatırımcıların takip etmesi gereken düzenleyici risk

Gizliliği satmanın siyasi bir maliyeti var. Briedis, Nord'un kullanıcı verilerini depolamaktansa tüm pazarlardan çekildiğini söyledi.

"Bazı ülkeler oradan veriyi almak istiyorlar, erişim elde etmek için," dedi. "Genel olarak o ülkede faaliyet göstermeyeceğiz; sunucularımızı oradan kaldırıyoruz."

Hiçbir şeyi elinde tutmadığını vaat eden bir iş için, veri saklama yasası bir maliyetten ziyade bir tahliye bildirimi gibidir.

Herkes gizliliği Briedis'in gördüğü şekilde çerçevelemiyor. Kabra gizlilik ile anonimlik arasında keskin bir çizgi çekiyor:

"Gizlilik ve anonimliği tamamen farklı şeyler olarak düşünürüm," dedi; bir hesabın doğrulanmış bir insan bağlantısı taşıyabileceğini, sıfır bilgi kanıtlarının ise kimliği gizli tutabileceğini savundu.

Bu, hiçbir şey bilmek için tasarlanmış no-logs VPN'in tam tersine bir içgüdü.

Yatırımcılar için anlamı

Yatırımcılar için talep kayması var: Yapay zeka saldırı maliyetlerini kullanıcıların korunmasını artırmasından daha hızlı kesiyor ve para sade VPN'lerden, kimlik, dolandırıcılık ve karanlık ağ koruması paketlerine doğru kayıyor.

Briedis bunu bitiş çizgisi olmayan bir mücadele olarak çerçeveliyor: hangi savunma olursa olsun, saldırganlar da evriliyor, dedi ve bunu "asla bitmeyen bir savaş" olarak nitelendirdi.

Temel mesajı yazılımın işin yarısı olduğudur. "Tekrar eğitimle ilgili ... nasıl davrandığınız," dedi.

"Genellikle tüm bu planlar acelecilik üzerine; sizi normal davranışınızda yapmamanız gereken bir eyleme itmeye çalışıyorlar."