Group-IB waarschuwt voor AI-deepfakefraude gericht op de Golf

Het in Singapore gevestigde cyberbeveiligingsbedrijf Group-IB heeft particuliere beleggers en financiële instellingen in de Samenwerkingsraad van de Golf (GCC) gewaarschuwd dat twee dit jaar door hun onderzoekers gedocumenteerde, AI-gestuurde investeringsfraudemodellen gemakkelijk overdraagbaar zijn naar Golfmarkten, aldus Biometric Update en Security MEA. De waarschuwing, eind augustus 2026 uitgebracht door het regionale team van Group-IB voor het Midden-Oosten, Turkije en Afrika (META), is gebaseerd op een in twee delen gepubliceerd onderzoek uit begin 2026 naar fraudeoperaties die slachtoffers maakten in Australië en de Verenigde Staten. Geen van beide constructies is gebonden aan de markt waar ze voor het eerst werden waargenomen, aldus Group-IB: de advertenties, de coördinatie via berichten-apps en de platforminfrastructuur kunnen binnen enkele dagen naar een nieuw land worden verplaatst.

Het onderzoek van Group-IB werd uitgevoerd door het eigen Fraud Protection-team, samen met analisten van de afdelingen Investigations, Threat Intelligence en CERT-GIB, met wat het bedrijf een „Cyber Fraud Fusion”-aanpak noemt: die verbindt advertenties, serverinfrastructuur en cryptovalutastromen zodat een heel fraudenetwerk in één keer kan worden ontmanteld in plaats van stukje bij beetje. De twee gevolgde constructies, respectievelijk GoldBull en CoinLure genoemd, ronselen beide slachtoffers via deepfakevideo's en privé-WhatsAppgroepen — precies de combinatie van kanalen die volgens Security MEA in de Golfregio al de standaardmanier is waarop bedrijven en particulieren over geld praten.

Wat de onderzoekers documenteerden

GoldBull begint met kortstondige betaalde advertenties op Facebook en Instagram die met deepfakevideo de stem en het uiterlijk van bekende financiële professionals nabootsen. Slachtoffers worden naar privé-WhatsAppgroepen geleid en krijgen te horen een specifiek smallcap-aandeel te kopen op een echte, gereguleerde beurs — wat de fraude juist moeilijk herkenbaar maakt, omdat de aandelen zelf echt zijn. In één door Group-IB gedocumenteerd geval kregen slachtoffers te horen in te kopen op 24,79 dollar per aandeel; gecoördineerde aankopen door de groep dreven de koers vervolgens 12,4% omhoog naar 27,87 dollar, voordat deze instortte tot 14,27 dollar — een verlies van 42,4% ten opzichte van de instapprijs van de slachtoffers. Group-IB schat het benodigde kapitaal voor die beweging op 1,5 tot 3 miljoen dollar, haalbaar met slechts 500 tot 3.000 gecoördineerde deelnemers.

CoinLure, de tweede constructie, runt een netwerk van meer dan 200 gekoppelde nepplatforms voor crypto-investeringen, gebouwd op gedeelde sjablonen en gedeelde infrastructuur, zodat de operatie individuele sluitingen overleeft. De on-chainanalyse van één platform door Group-IB bracht meer dan 90.000 dollar aan slachtofferstortingen aan het licht, verspreid over Bitcoin-, Ethereum- en USDT-TRC20-adressen die sinds 2022 actief zijn. De platforms tonen volgens Group-IB verzonnen rendementen en bieden wiskundig onmogelijke dagelijkse winsten aan, en accepteren uitsluitend cryptovaluta. Wanneer slachtoffers proberen op te nemen, eisen de platforms verzonnen belastingen, compliance-kosten of accountupgrades — elke betaling gevolgd door een volgende — en slachtoffers worden later vaak opnieuw benaderd door zogenaamde „terugvorderingsbureaus” die in werkelijkheid door dezelfde operators worden gerund.

Waarom Golfmarkten in het patroon passen

Group-IB noemt verschillende redenen waarom de GCC een aannemelijk volgend doelwit is. WhatsApp is in de regio het standaardkanaal voor zakelijke en financiële gesprekken — precies het kanaal waarvan beide constructies afhankelijk zijn. De cryptoadoptie is hoog en stijgend: de VAE staan wereldwijd vijfde op de Henley Crypto Adoption Index 2025, en Saoedi-Arabië noteerde een groei van 154% op jaarbasis in de waarde van cryptotransacties, tot ongeveer 31 miljard dollar. De groep particuliere beleggers groeit snel op de kapitaalmarkten van de Golf, en juist nieuwere beleggers zijn het belangrijkste doelwit van constructies als GoldBull en CoinLure. Fraudeurs klonen al de branding en vergunningsnummers van gereguleerde bedrijven, merkt Group-IB op — een tactiek die moeilijker te herkennen is voor expat-beleggers die minder vertrouwd zijn met lokale vergunningsregels. Regionale toezichthouders hebben op hun beurt herhaaldelijk gewaarschuwd voor ongelicentieerde beleggingsfirma's en adviseurs die via berichten-apps en sociale media opereren.

• GoldBull: deepfake-video-advertenties op Facebook/Instagram leiden slachtoffers naar WhatsAppgroepen die gecoördineerde aankopen van smallcap-aandelen organiseren; één gedocumenteerd geval liet 42,4% verlies zien ten opzichte van de instapprijs
• CoinLure: meer dan 200 nepcrypto-platforms op gedeelde sjablonen, meer dan 90.000 dollar aan getraceerde stortingen op één platform sinds 2022, alleen cryptovaluta, nepkosten bij opname
• VAE wereldwijd 5e op de Henley Crypto Adoption Index 2025; waarde van cryptotransacties in Saoedi-Arabië steeg 154% op jaarbasis tot circa 31 miljard dollar
• Het bredere onderzoek van Group-IB bracht een fraude-ecosysteem van 187 miljoen dollar in Australië en de VS aan het licht, met meer dan 20 nep-WhatsAppaccounts die zich voordeden als één en dezelfde Australische econoom
• Investeringsfraude leverde vorig jaar in de VS 7,9 miljard dollar aan gemelde verliezen op, in Australië 837,7 miljoen dollar

Behandel elke investeringskans die via een privé-WhatsApp- of Telegramgroep wordt gepromoot als frauduleus totdat het tegendeel is bewezen, en controleer het bedrijf bij uw nationale financiële toezichthouder voordat u geld overmaakt. Beschouw een videogetuigenis nooit als bewijs — deepfaketools kunnen elke publieke figuur overtuigend nabootsen.

Wat er verandert voor Nederlandse beleggers en platforms in de Golf

De waarschuwing komt op een moment dat de Saudische data- en AI-autoriteit SDAIA dit jaar al eigen deepfakerichtlijnen heeft uitgebracht naar aanleiding van toenemende, door AI mogelijk gemaakte aanvallen, en een in juli gepubliceerd VN-rapport documenteerde hoezeer deepfakes een vast onderdeel zijn geworden van georganiseerde, grensoverschrijdende investeringsfraude. Voor een effectenhuis, beurs of bank gevestigd in de Golf wijzen de concrete bevindingen van Group-IB op tastbare verdedigingsmaatregelen in plaats van algemene voorzichtigheid: het monitoren van deepfakevideo's waarin de eigen bestuurders of het eigen vergunningsnummer worden misbruikt, aangezien dit type klonen al is gedocumenteerd in de waargenomen constructies; platforms die alleen crypto accepteren en via WhatsApp gecoördineerde aandelentips behandelen als waarschuwingssignalen waarover klanten actief worden geïnformeerd, niet als louter passieve disclaimer; en een verwijderprocedure klaar hebben voor content die zich voordoet als de eigen instelling, aangezien volgens het onderzoek van Group-IB dezelfde deepfakebeelden en platformsjablonen simpelweg opnieuw worden ingezet tegen een nieuwe markt zodra de verdediging van een land is bijgetrokken. Voor een individuele belegger in de regio is de praktische toets eenvoudiger: een aandelentip die via een WhatsAppgroep binnenkomt, vergezeld van een video van een herkenbare financiële expert, is volgens het bewijs van Group-IB eerder een hergebruikte fraudesjabloon dan een echte kans.