Картка засталася ў руцэ, а грошы знялі ў банкамаце ў іншым горадзе

Званок пачынаецца з запісу. Роўны голас паведамляе пра падазроную аперацыю па вашым рахунку і просіць націснуць «1», калі вы яе не рабілі. Далей на лініі ветлівы «супрацоўнік банка»: картку трэба тэрмінова заблакаваць, а для гэтага — паставіць праграму і прыкласці картку да задняй крышкі тэлефона. Вы прыкладаеце. У тую ж хвіліну ў іншым горадзе малады хлопец падносіць свой тэлефон да банкамата і здымае з вашай карткі наяўныя. Сама картка па-ранейшаму ў вас у руцэ.

Так, мяркуючы па паведамленні паліцыі Нідэрландаў, працавала група, якую ў кастрычніку 2026 года накрыў аддзел кіберзлачынстваў Ратэрдама. За тры тыдні назірання следчыя налічылі каля 170 пацярпелых і €380 000 страт, і гэта былі не толькі пенсіянеры: сярод ахвяр дзясяткі дваццаці- і трыццацігадовых. Сам прыём не новы, яму прынамсі два гады. Новымі аказаліся галасы, створаныя нейрасеткай, і пытанне, якое за імі цягнецца: хто верне грошы чалавеку, калі картку да тэлефона ён прыклаў сам?

Картка, якую падоўжылі праз інтэрнэт

Бескантактавая аплата трымаецца на NFC: гэта радыёсувязь на адлегласці некалькіх сантыметраў. Тэрмінал або банкамат дасылае картцы запыт, чып у картцы адказвае, і па гэтым адказе банк разумее, што картка сапраўдная. Уся абарона трымаецца на простай фізіцы: калі чып адказаў, картка побач.

Ашуканская праграма гэтую фізіку падманвае. Яна чытае адказы чыпа праз NFC-модуль тэлефона ахвяры і праз сервер перасылае іх на другі тэлефон — саўдзельніку. Той прыкладае свой смартфон да банкамата, і банкамат «бачыць» картку, якая ляжыць у іншым канцы краіны. Калі спрасціць, картку не капіююць, а падаўжаюць: паміж чыпам і банкаматам працягваюць нябачны провад даўжынёй у дзясяткі кіламетраў.

Галандская паліцыя апісвае гэта так: пакуль ахвяра прыціскала картку да тэлефона, «пінер» з той жа праграмай ужо чакаў каля банкамата або плацежнага тэрмінала. Pinnen па-галандску — «здымаць наяўныя», адсюль і мянушка саўдзельніка, які забірае грошы. Грошы сыходзілі тысячамі еўра, а людзі нічога не заўважалі. Як група даведвалася ПІН-код, паліцыя ў паведамленні не піша. Яе прадстаўнік сказаў тэлеканалу RTL Nieuws, што часам ПІН-код нават не патрэбны, але пра якія аперацыі ідзе гаворка, не ўдакладніў. У падобнай чэшскай схеме ахвяры набіралі яго проста ў праграме. Таму паліцыя паўтарае тры рэчы, пра якія банк не папросіць ніколі: спампаваць праграму, прыкласці картку да тэлефона і назваць ПІН-код.

Цацка з універсітэцкай лабараторыі

У гэтай атакі ёсць акадэмічны радавод. У Тэхнічным універсітэце Дармштата студэнты лабараторыі мабільных сетак напісалі для даследчыкаў NFCGate — адкрытую праграму для Android. Яна перахоплівае, запісвае і перасылае NFC-сігнал паміж двума прыладамі, каб правяраць пратаколы бескантактавай сувязі на трываласць. У апісанні праекта аўтары проста просяць не выкарыстоўваць яе на зло.

Просьба не дапамагла. У жніўні 2024 года даследчыкі ESET апісалі NGate — першую вядомую шкодную праграму на аснове NFCGate. Кліентам трох чэшскіх банкаў прыходзілі SMS пра вяртанне падаткаў. Далей чалавек ставіў падробленую банкаўскую праграму, уводзіў ПІН-код і прыкладаў картку да тэлефона. У сакавіку 2024 года паліцыя затрымала ў Празе 22-гадовага хлопца, які здымаў грошы ў банкаматах. Пры ім знайшлі 160 000 крон (каля €6000) — як паведаміла паліцыя, грошы толькі трох апошніх ахвяр.

Далей схема пайшла ў тыраж. У першай палове 2025 года ESET налічыла больш чым у 35 разоў больш NFC-атак, чым у другой палове 2024-га. Увесну 2025 года ў Італіі знайшлі SuperCard X: той жа прыём, толькі па падпісцы. Яго прадавалі праз Telegram-каналы, а «кліентам» належала служба падтрымкі. Выйшла іранічна: цяпер аўтары NFCGate папярэджваюць у апісанні праекта, што антывірусы памылкова прымаюць іх даследчы інструмент за NGate.

Голас, які гучыць як банк

Ратэрдамская група дадала да старой тэхнікі новае: голас. З дапамогай ШІ ашуканцы агучылі дзясяткі запісаў рознымі галасамі ад імя розных банкаў і кампаній. Нейрасетка дала ім маштаб: невялікая група гучала як мноства арганізацый, у кожнай свой голас, і ніякіх дыктараў шукаць не давялося. Аўтаматычны званок з выбарам кнопкі падобны да звычайнай рассылкі сэрвісу, і націснуць «1» не здаецца небяспечным. Далей на лініі з’яўляўся жывы чалавек: ён чытаў па сцэнарыі і падганяў.

«Гэта ўжо не ашуканец ля дзвярэй, а пераканаўчы суразмоўца, які гучыць вельмі прафесійна», — сказаў Рубен ван Вел з аддзела кіберзлачынстваў Ратэрдама. Па яго словах, такой тэхнічнай схемы следчыя раней не сустракалі.

Падступнасць схемы ў тым, што яна падобная да абароны. У нідэрландскім камп’ютарным клубе HCC заўважаюць: картка не пакідае рук, і чалавеку здаецца, што ён беражэ свой рахунак. Націснуць «1», паставіць праграму, прыкласці картку: кожны крок выглядае мерай бяспекі, а не рызыкай.

Банкі заўважылі ўсплёск у сярэдзіне верасня, а 6 кастрычніка паліцыя затрымала дваіх: 23-гадовага меркаванага арганізатара і 25-гадовага каардынатара. Абодва пад вартай, іх віна не даказаная, прысуду няма.

Хто верне грошы

Для пацярпелага самае цяжкае пачынаецца пасля званка. Банк можа сказаць: вы самі паставілі праграму і самі прыклалі картку, гэта грубая нядбайнасць. Галандскія банкі ўсё часцей так і адказваюць. Паводле падлікаў Нідэрландскай асацыяцыі банкаў (NVB), у 2021 годзе ахвярам падробленай службы падтрымкі банкі кампенсавалі 92% страт, а ў 2024-м толькі 48%. Пацярпелых у 2025 годзе было амаль 5900, разам яны страцілі амаль €26 млн.

15 кастрычніка 2026 года ў гэтую арыфметыку ўмяшаўся Суд Еўрапейскага саюза. Хітрык у яго справе быў іншы, а спрэчка тая ж: банк адмовіў, спаслаўшыся на нядбайнасць кліента. Справа C-70/25 пачалася ў Польшчы. Жанчына прадавала рэч на сайце аб’яў, «пакупнік» даслаў спасылку нібыта для пацвярджэння здзелкі, і яна ўвяла даныя інтэрнэт-банка на падробленай старонцы. З рахунку сышло каля €700. На наступны дзень яна паведаміла ў банк, але грошы ёй не вярнулі: на думку банка, яна сама вінаватая.

Суд ЕС вырашыў, што так нельга, і памяняў парадак дзеянняў.

Логіку суд растлумачыў прама: калі банк зможа адмаўляць адразу, абавязак вярнуць грошы неадкладна страціць сэнс, а кліенту давядзецца самому ісці ў суд, з выдаткамі і клопатамі. Рашэнне абавязковае для судоў усіх краін ЕС, але канкрэтную польскую спрэчку вырашыць польскі суд. Правіла тычыцца аперацый, якіх кліент не дазваляў, — напрыклад, калі чужы чалавек здымае наяўныя ў банкамаце. Калі ж чалавек пад дыктоўку ашуканца сам перавёў грошы на «бяспечны рахунак», гэта, як правіла, лічыцца дазволеным плацяжом, і неадкладнае вяртанне яму аўтаматычна не належыць.

Калі грошы ўжо сышлі, з рашэння вынікае просты парадак. Паведаміць банку пра спісанне, якога вы не дазвалялі, трэба адразу: хуткае паведамленне суд называе ўмовай вяртання. Пасля гэтага банк у ЕС абавязаны вярнуць грошы да канца наступнага працоўнага дня, а даказваць нядбайнасць кліента можа ўжо потым. Калі банк спрачаецца, спашліцеся на рашэнне па справе C-70/25.

У NVB, як піша галандская прэса, лічаць, што рашэнне мяняе тэрмін вяртання, а не тое, на кім у выніку апынуцца страты. Збольшага гэта праўда. Але парадак важны: адна справа чакаць месяцамі і судзіцца за свае грошы, іншая — атрымаць іх на наступны дзень і глядзець, ці адважыцца банк даказваць віну.

Што лічыць нядбайнасцю

Тут і пачнецца наступная спрэчка. Заднім лікам прыкласці картку да тэлефона па просьбе «банка» здаецца наіўным, але яшчэ пару гадоў таму пра такі хітрык амаль ніхто не чуў. Галандскі фінансавы амбудсмен Kifid увесну 2026 года заклікаў банкі часцей тлумачыць сумненні на карысць кліента: ашуканцы дзейнічаюць занадта ўмела.

Для схемы з банкаматам першы крок цяпер ясны, другі не. Суды пакуль не адказалі на галоўнае пытанне. Ці можна назваць грубай нядбайнасцю давер да голасу, які нейрасетка зрабіла падобным да вашага банка, і да просьбы, якую галандская паліцыя ў такім выглядзе сустрэла ўпершыню?