La targeta no et va sortir de la mà, però els diners van sortir d’un caixer llunyà

La trucada comença amb una gravació. Una veu tranquil·la informa d’una activitat sospitosa al vostre compte i us demana que premeu l'1 si no l’heu autoritzada. Després entra a la línia un «empleat del banc» molt amable. Diu que cal bloquejar la targeta immediatament, així que, si us plau, instal·leu aquesta aplicació i acosteu la targeta a la part del darrere del mòbil. Ho feu. En aquell mateix moment, en una altra ciutat, un noi acosta el seu propi mòbil a un caixer automàtic i treu diners de la vostra targeta, que continua a la vostra mà.

Aquest és el mètode que, segons la policia neerlandesa, va fer servir un grup fins que l’equip de cibercrim de Rotterdam el va desarticular l’octubre del 2026. En les tres setmanes que els investigadors el van vigilar, van comptar unes 170 víctimes i 380.000 € de pèrdues, i no eren només jubilats: desenes tenien vint i tants o trenta i tants anys. El truc en si té com a mínim dos anys. El que és nou són les veus generades amb IA, i la pregunta que arrosseguen: qui ha de tornar els diners a algú que ha acostat la seva pròpia targeta al seu propi mòbil?

Una targeta estirada a través d’internet

El pagament sense contacte funciona amb NFC, un enllaç de ràdio que abasta pocs centímetres. El terminal o el caixer envia un repte a la targeta, el xip respon i aquesta resposta confirma al banc que la targeta és autèntica. Tot es basa en una física senzilla: si el xip respon, la targeta ha de ser allà mateix.

L’aplicació dels estafadors enganya aquesta física. Llegeix les respostes del xip a través de l’antena NFC del mòbil de la víctima i les reenvia, per mitjà d’un servidor, a un segon mòbil que té a la mà un còmplice. El còmplice acosta aquest mòbil a un caixer, i la màquina «veu» una targeta que en realitat és a l’altra punta del país. La targeta no es copia: més aviat s’allarga. Entre el xip i el caixer s’estén un cable invisible de desenes de quilòmetres.

La policia neerlandesa descriu el relleu. Mentre la víctima acostava la targeta al mòbil, un «pinner» amb la mateixa aplicació ja esperava davant d’un caixer o d’un terminal de pagament. (El verb neerlandès pinnen vol dir treure diners del caixer; d’aquí el nom del còmplice que els recull.) Sortien milers d’euros, i les víctimes no se n’adonaven. El comunicat policial no explica com aconseguia el grup els PIN. Un portaveu de la policia va dir a la cadena RTL Nieuws que de vegades ni tan sols cal el PIN, sense precisar de quines operacions parlava. En un esquema txec semblant, les víctimes l’escrivien directament a l’aplicació. Per això la policia repeteix tres coses que el vostre banc no us demanarà mai: descarregar una aplicació, acostar la targeta al mòbil o donar el PIN.

Nascut en un laboratori universitari

L’atac té un arbre genealògic acadèmic. Uns estudiants del Secure Mobile Networking Lab de la Universitat Tècnica de Darmstadt, a Alemanya, van crear NFCGate, una aplicació d’Android de codi obert que capta, enregistra i retransmet senyals NFC entre dos dispositius. La seva funció és ajudar els investigadors a posar a prova els protocols sense contacte. La pàgina del projecte demana, amb aquestes mateixes paraules, que no es faci servir amb finalitats malicioses.

No tothom en va fer cas. L’agost del 2024, investigadors de l’empresa de seguretat ESET van descriure NGate, el primer programari maliciós conegut basat en NFCGate. Clients de tres bancs txecs van rebre SMS sobre una devolució d’impostos; les víctimes instal·laven una falsa aplicació bancària, hi introduïen el PIN i acostaven la targeta al mòbil. El març del 2024, la policia de Praga va detenir un jove de 22 anys que treia diners de caixers. Portava 160.000 corones txeques (uns 6.000 €), que segons la policia provenien només de les tres darreres víctimes.

Després, l’esquema va passar a la producció en sèrie. En la primera meitat del 2025, ESET va registrar més de 35 vegades més atacs NFC que en la segona meitat del 2024. Aquella primavera, investigadors a Itàlia van trobar SuperCard X, el mateix truc venut per subscripció a través de canals de Telegram, amb servei d’atenció al client inclòs. Mentrestant, els autors de NFCGate adverteixen ara a la pàgina del projecte que els antivirus confonen sovint la seva eina de recerca amb NGate.

Una veu que sona com el vostre banc

El grup de Rotterdam va afegir un sol ingredient nou a la tècnica antiga: la veu. Els estafadors van fer servir IA per produir desenes de gravacions amb veus diferents, fent-se passar per diversos bancs i empreses. El que els va donar la IA va ser escala: un grup petit podia semblar moltes organitzacions diferents, cadascuna amb la seva veu, sense contractar ni un sol locutor. Una trucada automàtica amb menú sona com un avís de servei qualsevol, i prémer l'1 no fa la impressió de ser arriscat. Després prenia el relleu una persona de carn i ossos, que seguia un guió pensat per crear urgència.

«Ja no és un estafador que truca a la porta, sinó algú convincent a l’altra banda del telèfon que sembla extremadament professional», va dir Ruben van Well, de l’equip de cibercrim de Rotterdam. Va afegir que els investigadors no havien vist mai abans aquest mètode tècnic.

El que fa perillós l’esquema és que sembla protecció. La targeta no surt mai de les vostres mans, així que creieu que esteu protegint el compte, apunta HCC, un club neerlandès d’usuaris d’ordinadors. Prémer l'1, instal·lar l’aplicació, acostar la targeta: cada pas sembla una mesura de seguretat, no un risc.

Els bancs van detectar un repunt a mitjan setembre, i el 6 d’octubre la policia va detenir dos homes: un de 23 anys, sospitós d’idear l’esquema, i un de 25, sospitós de coordinar-lo. Tots dos són en presó preventiva; cap dels dos ha estat condemnat.

Qui us torna els diners

Per a les víctimes, el problema de debò comença després de la trucada. El banc pot dir: vostè va instal·lar l’aplicació i va acostar la targeta, i això és negligència greu. Els bancs neerlandesos ho diuen cada vegada més sovint. Segons l’Associació de Banca dels Països Baixos (NVB), els bancs van reemborsar el 92% de les pèrdues per frau de falsos serveis d’atenció bancària el 2021 i només el 48% el 2024. El 2025, gairebé 5.900 víctimes van perdre prop de 26 milions d’euros en total.

El 15 d’octubre de 2026, el Tribunal de Justícia de la Unió Europea va entrar en aquests números. El truc del seu cas era diferent, però la baralla era la mateixa: el banc s’hi negava i culpava la imprudència de la clienta. L’assumpte C-70/25 va començar a Polònia. Una dona venia una cosa en un portal de compravenda en línia; un «comprador» li va enviar un enllaç, suposadament per confirmar la venda, i ella va escriure les credencials de la banca en línia en una pàgina falsa. Del compte li van desaparèixer uns 700 €. Ho va denunciar l’endemà, però el banc no li va tornar els diners: al seu parer, la culpa era només seva.

El tribunal va dictaminar que això no és admissible, i va capgirar l’ordre dels fets.

El raonament del tribunal és senzill: si els bancs es poguessin negar d’entrada, l’obligació de reemborsar immediatament no voldria dir res. Els clients haurien d’anar als tribunals pel seu compte, amb tot el cost i les molèsties que comporta. La sentència vincula els tribunals de tota la UE, tot i que el litigi polonès el resoldrà un tribunal polonès. S’aplica a les operacions que el client no ha autoritzat, com ara que un desconegut tregui diners d’un caixer. Si la víctima segueix les instruccions d’un estafador i transfereix ella mateixa els diners a un «compte segur», normalment es considera un pagament autoritzat, i el reemborsament immediat no és automàtic.

Si els diners ja han volat, la sentència suggereix una seqüència senzilla. Notifiqueu de seguida l’operació no autoritzada al vostre banc, perquè el tribunal fa de l’avís ràpid una condició del reemborsament. A la UE, el banc us ha de tornar els diners abans que acabi el dia hàbil següent i pot discutir després sobre la vostra imprudència; la sentència de l’assumpte C-70/25 és la que cal citar.

La posició de l’NVB, segons informen els mitjans neerlandesos, és que la sentència canvia quan es fa el reemborsament, no qui assumeix finalment la pèrdua. En part és cert. Però el moment importa. Una cosa és esperar mesos i pledejar pels teus propis diners; una altra de ben diferent és recuperar-los l’endemà i veure si el banc es molesta a demostrar que la culpa va ser teva.

Què compta com a imprudència

Aquí serà la propera batalla. Acostar la targeta al mòbil perquè t’ho ha demanat «el banc» sembla ingenu a posteriori, però fa un parell d’anys gairebé ningú no havia sentit parlar d’aquest truc. La primavera del 2026, Kifid, l’organisme neerlandès de reclamacions financeres, va instar els bancs a concedir més sovint el benefici del dubte als clients, perquè els delinqüents són molt hàbils manipulant les víctimes.

Pel que fa a l’esquema dels caixers, el primer pas ara és clar i el segon, no. Cap tribunal no ha respost encara la pregunta de fons: és negligència greu confiar en una veu generada perquè soni com el teu banc, que et fa una petició que la policia neerlandesa no havia vist mai abans en aquesta forma?