بقيت البطاقة في يدك، وخرجت النقود من صرّاف آلي بعيد

تبدأ المكالمة بتسجيل صوتي. صوت هادئ يبلغك بنشاط مريب في حسابك، ويطلب منك الضغط على الرقم 1 إن لم تكن أنت من أجراه. ثم ينضم إلى الخط «موظف بنك» مهذّب. يقول إن بطاقتك يجب أن تُجمَّد فورًا، فالرجاء تثبيت هذا التطبيق ووضع البطاقة على ظهر هاتفك. تفعل ذلك. وفي اللحظة نفسها، في مدينة أخرى، يقرّب شاب هاتفه من صرّاف آلي ويسحب نقودًا من بطاقتك التي ما زالت في يدك.

هذه هي الخطة التي تقول الشرطة الهولندية إن عصابة واحدة نفّذتها إلى أن فكّكها فريق مكافحة الجرائم الإلكترونية في روتردام في أكتوبر 2026. وخلال الأسابيع الثلاثة التي راقبها فيها المحققون أحصوا نحو 170 ضحية وخسائر بلغت 380 ألف يورو، ولم يكن الضحايا من المتقاعدين وحدهم: فالعشرات منهم في العشرينيات والثلاثينيات من العمر. الحيلة نفسها عمرها عامان على الأقل. الجديد هو الأصوات المولَّدة بالذكاء الاصطناعي، والسؤال الذي تجرّه خلفها: من يعوّض شخصًا وضع بطاقته بنفسه على هاتفه بنفسه؟

بطاقة ممدودة عبر الإنترنت

يعتمد الدفع اللاتلامسي على تقنية NFC، وهي اتصال لاسلكي يعمل على مسافة بضعة سنتيمترات. يرسل جهاز الدفع أو الصرّاف الآلي إلى البطاقة سؤالًا، فتجيب الشريحة، وهذه الإجابة تُثبت للبنك أن البطاقة حقيقية. كل شيء قائم على فيزياء بسيطة: إذا أجابت الشريحة، فلا بد أن البطاقة موجودة هنا.

تطبيق الاحتيال يخدع هذه الفيزياء. فهو يقرأ إجابات الشريحة عبر هوائي NFC في هاتف الضحية، ويمرّرها عبر خادم إلى هاتف ثانٍ في يد الشريك. يلمس الشريك الصرّاف الآلي بهذا الهاتف، فـ«يرى» الجهاز بطاقةً هي في الواقع في الطرف الآخر من البلاد. البطاقة لا تُنسخ بقدر ما تُمدّ: كابل خفي بطول عشرات الكيلومترات يمتد بين الشريحة وآلة النقود.

تصف الشرطة الهولندية عملية التسليم هذه. فبينما كانت الضحية تضغط البطاقة على الهاتف، كان «السحّاب» يحمل التطبيق نفسه وينتظر بالفعل عند صرّاف آلي أو جهاز دفع. (الفعل الهولندي pinnen يعني سحب النقود، ومنه جاء اسم الشريك الذي يجمعها.) خرجت آلاف اليوروهات، ولم يلاحظ الضحايا شيئًا. لا يذكر بيان الشرطة كيف حصلت العصابة على الأرقام السرية. وقال متحدث باسم الشرطة لقناة RTL Nieuws إن الرقم السري لا يلزم أحيانًا أصلًا، من دون أن يوضح أي عمليات يقصد. وفي مخطط تشيكي مشابه، كتب الضحايا الرقم مباشرة في التطبيق. لهذا تكرر الشرطة ثلاثة أمور لن يطلبها منك بنكك أبدًا: تنزيل تطبيق، ووضع بطاقتك على هاتفك، وإعطاء رقمك السري.

وُلد في مختبر جامعي

لهذا الهجوم شجرة نسب أكاديمية. فقد بنى طلاب في مختبر الشبكات المتنقلة الآمنة بجامعة دارمشتات التقنية في ألمانيا تطبيق NFCGate، وهو تطبيق أندرويد مفتوح المصدر يلتقط إشارات NFC ويسجّلها وينقلها بين جهازين. مهمته مساعدة الباحثين على اختبار متانة بروتوكولات الدفع اللاتلامسي. وتطلب صفحة المشروع صراحةً ألا يُستخدم لأغراض خبيثة.

لم يُصغِ الجميع. ففي أغسطس 2024 وصف باحثون في شركة الأمن ESET برنامج NGate، أول برمجية خبيثة معروفة مبنية على NFCGate. تلقّى عملاء ثلاثة بنوك تشيكية رسائل نصية عن استرداد ضريبي، ثم ثبّت الضحايا تطبيقًا مصرفيًا مزيفًا، وأدخلوا رقمهم السري، ووضعوا بطاقاتهم على الهاتف. وفي مارس 2024 اعتقلت الشرطة في براغ شابًا في الثانية والعشرين كان يسحب النقود من الصرّافات الآلية. كان يحمل 160 ألف كرونة تشيكية (نحو 6 آلاف يورو)، قالت الشرطة إنها جاءت من آخر ثلاث ضحايا فقط.

بعد ذلك دخل المخطط مرحلة الإنتاج الجماعي. ففي النصف الأول من 2025 رصدت ESET هجمات NFC أكثر بأكثر من 35 ضعفًا مما رصدته في النصف الثاني من 2024. وفي ربيع ذلك العام عثر باحثون في إيطاليا على SuperCard X، وهي الحيلة ذاتها تُباع باشتراك عبر قنوات تيليغرام، مع خدمة دعم للعملاء أيضًا. أما مطوّرو NFCGate فيشيرون الآن في صفحة مشروعهم إلى أن برامج مكافحة الفيروسات لا تكفّ عن الخلط بين أداتهم البحثية وبرنامج NGate.

صوت يشبه صوت بنكك

أضافت عصابة روتردام مكوّنًا واحدًا جديدًا إلى التقنية القديمة: الصوت. فقد استخدم المحتالون الذكاء الاصطناعي لإنتاج عشرات التسجيلات بأصوات مختلفة، منتحلين صفة بنوك وشركات متعددة. ما منحهم إياه الذكاء الاصطناعي هو الحجم: صار بوسع مجموعة صغيرة أن تبدو كأنها مؤسسات كثيرة، لكل منها صوتها، من دون توظيف معلّق صوتي واحد. المكالمة الآلية ذات القائمة تبدو رسالة خدمة عادية، والضغط على الرقم 1 لا يوحي بأي خطر. ثم يتسلّم شخص حقيقي المكالمة، ويعمل وفق نص مكتوب لخلق شعور بالاستعجال.

قال روبن فان فيل من فريق مكافحة الجرائم الإلكترونية في روتردام: «لم يعد الأمر محتالًا يطرق الباب، بل متصلًا مقنعًا يبدو محترفًا للغاية». وأضاف أن المحققين لم يروا هذا الأسلوب التقني من قبل.

ما يجعل المخطط خطيرًا أنه يبدو حمايةً. فبطاقتك لا تفارق يديك، فتظن أنك تحافظ على أمان حسابك، كما يلاحظ نادي HCC الهولندي لمستخدمي الحاسوب. الضغط على 1، وتثبيت التطبيق، ورفع البطاقة: كل خطوة تبدو إجراءً احترازيًا لا مجازفة.

لاحظت البنوك قفزة في منتصف سبتمبر، وفي 6 أكتوبر اعتقلت الشرطة رجلين: شابًا في الثالثة والعشرين يُشتبه في أنه العقل المدبر للمخطط، وآخر في الخامسة والعشرين يُشتبه في أنه منسّقه. كلاهما رهن الاحتجاز، ولم يُدَن أيٌّ منهما.

من يعيد إليك مالك؟

بالنسبة إلى الضحايا، تبدأ المتاعب الحقيقية بعد المكالمة. فبإمكان البنك أن يقول: أنت من ثبّت التطبيق وأنت من رفع البطاقة، وهذا إهمال جسيم. والبنوك الهولندية تقول ذلك أكثر فأكثر. فقد عوّضت البنوك 92% من خسائر الاحتيال عبر انتحال مكاتب المساعدة المصرفية في 2021، و48% فقط في 2024، وفقًا لجمعية البنوك الهولندية (NVB). وفي 2025 خسر قرابة 5900 ضحية ما يقارب 26 مليون يورو مجتمعين.

في 15 أكتوبر 2026 دخلت محكمة العدل التابعة للاتحاد الأوروبي على خط هذه الحسابات. كانت الحيلة في قضيتها مختلفة، لكن النزاع واحد: رفض البنك التعويض محمّلًا العميل مسؤولية إهماله. بدأت القضية C-70/25 في بولندا. كانت امرأة تبيع شيئًا في سوق إلكترونية، فأرسل إليها «مشترٍ» رابطًا بزعم تأكيد البيع، فأدخلت بيانات دخولها إلى حسابها المصرفي في صفحة مزيفة. خرج من حسابها نحو 700 يورو. أبلغت عن ذلك في اليوم التالي، لكن البنك رفض أن يعيد لها المال: فهي في نظره لا تلوم إلا نفسها.

قضت المحكمة بأن هذا غير جائز، وقلبت ترتيب الأحداث.

كان منطق المحكمة واضحًا: لو كان بوسع البنوك الرفض منذ البداية، لفقد واجب التعويض الفوري معناه، ولاضطر العملاء إلى اللجوء إلى القضاء بأنفسهم بكل ما في ذلك من كلفة وعناء. الحكم ملزم للمحاكم في أنحاء الاتحاد الأوروبي، وإن كانت محكمة بولندية هي التي ستفصل في النزاع البولندي نفسه. وهو يسري على العمليات التي لم يصرّح بها العميل، كأن يسحب غريب نقودًا من صرّاف آلي. أما إذا اتبعت الضحية تعليمات المحتال وحوّلت المال بنفسها إلى «حساب آمن»، فإن ذلك يُعدّ عادةً دفعة مصرّحًا بها، ولا يكون التعويض الفوري تلقائيًا.

إن كان المال قد ذهب بالفعل، فالحكم يقترح تسلسلًا بسيطًا. أبلغ بنكك فورًا بالعملية غير المصرّح بها، لأن المحكمة جعلت الإبلاغ السريع شرطًا للتعويض. وفي الاتحاد الأوروبي يتعيّن على البنك عندئذ أن يعيد إليك المال بحلول نهاية يوم العمل التالي، ثم يجادل في إهمالك لاحقًا؛ والحكم الذي يُستشهد به هو الصادر في القضية C-70/25.

وموقف جمعية NVB، كما تنقل وسائل الإعلام الهولندية، أن الحكم يغيّر توقيت التعويض لا الطرف الذي يتحمّل الخسارة في النهاية. وفي هذا شيء من الصحة. لكن التوقيت مهم. فأن تنتظر شهورًا وتقاضي من أجل مالك أمر، وأن تستعيده في اليوم التالي وتراقب هل سيتكبّد البنك عناء إثبات خطئك أمر آخر تمامًا.

ما الذي يُعدّ إهمالًا؟

هنا ستدور المعركة التالية. وضعُ بطاقتك على هاتفك لأن «البنك» طلب ذلك يبدو سذاجة بعد وقوع الأمر، لكن قبل عامين لم يكن أحد تقريبًا قد سمع بهذه الحيلة. وفي ربيع 2026 حثّت هيئة Kifid الهولندية للنظر في شكاوى الخدمات المالية البنوكَ على منح العملاء حسن الظن أكثر، لأن المجرمين بارعون جدًا في التلاعب بضحاياهم.

في ما يخص مخطط الصرّافات الآلية، صارت الخطوة الأولى واضحة الآن، أما الثانية فلا. لم تُجب أي محكمة بعد عن السؤال الحقيقي: هل يُعدّ إهمالًا جسيمًا أن تثق بصوت وُلّد ليشبه صوت بنكك، يطلب منك شيئًا لم تره الشرطة الهولندية بهذا الشكل من قبل؟