Karta vám zůstala v ruce, peníze zmizely z bankomatu v jiném městě

Hovor začíná nahrávkou. Klidný hlas oznámí podezřelou transakci na vašem účtu a požádá vás, abyste stiskli „1“, pokud jste ji neprovedli vy. Pak se na lince ozve zdvořilý „pracovník banky“: kartu je nutné okamžitě zablokovat, a k tomu si máte nainstalovat aplikaci a přiložit kartu k zadní straně telefonu. Přiložíte ji. Ve stejné minutě v jiném městě mladík přiloží svůj telefon k bankomatu a vybere z vaší karty hotovost. Karta přitom celou dobu leží ve vaší ruce.

Takhle podle sdělení nizozemské policie fungovala skupina, kterou v říjnu 2026 odhalilo oddělení kybernetické kriminality v Rotterdamu. Za tři týdny sledování napočítali vyšetřovatelé asi 170 poškozených a škodu 380 000 €. A nešlo jen o důchodce: mezi oběťmi byly desítky dvacetiletých a třicetiletých. Samotný trik nový není, je starý nejméně dva roky. Nové byly hlasy vytvořené neuronovou sítí a otázka, která se za nimi táhne: kdo člověku vrátí peníze, když kartu k telefonu přiložil sám?

Karta prodloužená přes internet

Bezkontaktní placení stojí na NFC, rádiovém spojení na vzdálenost několika centimetrů. Terminál nebo bankomat pošle kartě dotaz, čip odpoví a podle odpovědi banka pozná, že je karta pravá. Celá ochrana stojí na prosté fyzice: když čip odpověděl, karta je poblíž.

Podvodná aplikace tuhle fyziku obelstí. Přes NFC modul v telefonu oběti čte odpovědi čipu a přes server je posílá do druhého telefonu, ke komplici. Ten přiloží svůj smartphone k bankomatu a bankomat „vidí“ kartu, která leží na druhém konci země. Zjednodušeně řečeno se karta nekopíruje, ale prodlužuje: mezi čipem a bankomatem se natáhne neviditelný drát dlouhý desítky kilometrů.

Nizozemská policie to popisuje takto: zatímco oběť tiskla kartu k telefonu, „pinner“ se stejnou aplikací už čekal u bankomatu nebo platebního terminálu. Pinnen znamená nizozemsky „vybírat hotovost“, odtud přezdívka komplice, který peníze vyzvedává. Odcházely tisíce eur a lidé si ničeho nevšimli. Jak skupina zjišťovala PIN, policie ve sdělení neuvádí. Její mluvčí řekl televizi RTL Nieuws, že PIN někdy ani není potřeba, ale o jaké transakce jde, neupřesnil. V podobném českém schématu ho oběti zadávaly přímo do aplikace. Policie proto opakuje tři věci, o které banka nikdy nepožádá: stáhnout aplikaci, přiložit kartu k telefonu a sdělit PIN.

Hračka z univerzitní laboratoře

Tenhle útok má akademický rodokmen. Na Technické univerzitě v Darmstadtu napsali studenti laboratoře mobilních sítí pro výzkumníky NFCGate, otevřenou aplikaci pro Android. Zachytává, nahrává a přeposílá NFC signál mezi dvěma zařízeními, aby se daly prověřovat protokoly bezkontaktní komunikace. V popisu projektu autoři výslovně žádají, aby ho nikdo nezneužíval.

Prosba nepomohla. V srpnu 2024 výzkumníci ze společnosti ESET popsali NGate, první známý škodlivý program postavený na NFCGate. Klientům tří českých bank chodily SMS o vrácení daní. Člověk si pak nainstaloval falešnou bankovní aplikaci, zadal PIN a přiložil kartu k telefonu. V březnu 2024 policie v Praze zadržela dvaadvacetiletého mladíka, který vybíral peníze z bankomatů. Měl u sebe 160 000 korun (asi 6000 €), a to byly podle policie peníze jen tří posledních obětí.

Pak se schéma rozjelo ve velkém. V první polovině roku 2025 napočítal ESET víc než 35krát více NFC útoků než ve druhé polovině roku 2024. Na jaře 2025 se v Itálii objevil SuperCard X: stejný trik, jen na předplatné. Prodával se přes kanály na Telegramu a „zákazníci“ měli k dispozici zákaznickou podporu. Ironie na sebe nenechala čekat: autoři NFCGate teď v popisu projektu upozorňují, že antiviry jejich výzkumný nástroj omylem považují za NGate.

Hlas, který zní jako banka

Rotterdamská skupina přidala ke staré technice něco nového: hlas. Podvodníci s pomocí umělé inteligence namluvili desítky nahrávek různými hlasy jménem různých bank a firem. Neuronová síť jim dala rozsah: malá skupina zněla jako spousta organizací, každá s vlastním hlasem, a nemusela shánět žádné mluvčí. Automatický hovor s volbou tlačítka připomíná běžné oznámení nějaké služby a stisknout „1“ nevypadá nebezpečně. Pak se na lince ozval živý člověk, četl podle scénáře a popoháněl.

„Už to není podvodník za dveřmi, ale přesvědčivý protějšek, který zní velmi profesionálně,“ řekl Ruben van Well z rotterdamského oddělení kybernetické kriminality. Podle něj se vyšetřovatelé s takovým technickým schématem dosud nesetkali.

Zákeřnost schématu je v tom, že vypadá jako ochrana. V nizozemském počítačovém klubu HCC upozorňují: karta neopustí ruku, a tak má člověk pocit, že svůj účet chrání. Stisknout „1“, nainstalovat aplikaci, přiložit kartu: každý krok působí jako bezpečnostní opatření, ne jako riziko.

Banky si nárůstu všimly v polovině září a 6. října policie zadržela dva muže: třiadvacetiletého údajného organizátora a pětadvacetiletého koordinátora. Oba jsou ve vazbě, jejich vina nebyla prokázána a rozsudek zatím nepadl.

Kdo vrátí peníze

Pro poškozeného to nejtěžší začíná až po hovoru. Banka může říct: aplikaci jste si nainstaloval sám a kartu jste přiložil sám, to je hrubá nedbalost. Nizozemské banky takhle odpovídají čím dál častěji. Podle výpočtů Nizozemské bankovní asociace (NVB) banky v roce 2021 obětem falešné bankovní podpory nahradily 92 % škody, v roce 2024 už jen 48 %. Poškozených bylo v roce 2025 téměř 5900 a dohromady přišli skoro o 26 milionů €.

Do těchhle počtů 15. října 2026 vstoupil Soudní dvůr Evropské unie. Úskok v jeho případu byl jiný, spor ale stejný: banka odmítla s odkazem na nedbalost klienta. Případ C-70/25 začal v Polsku. Žena prodávala věc na inzertním webu, „kupující“ jí poslal odkaz údajně k potvrzení obchodu a ona zadala údaje k internetovému bankovnictví na falešné stránce. Z účtu odešlo asi 700 €. Druhý den to nahlásila bance, ta jí ale peníze nevrátila: podle banky si za to mohla sama.

Soudní dvůr EU rozhodl, že takhle to nejde, a změnil pořadí kroků.

Svou logiku soud vysvětlil přímo: kdyby banka mohla odmítat hned, povinnost vrátit peníze okamžitě by ztratila smysl a klient by musel k soudu sám, s náklady a starostmi. Rozhodnutí je závazné pro soudy všech zemí EU, konkrétní polský spor ale rozhodne polský soud. Pravidlo se týká transakcí, které klient neautorizoval, třeba když cizí člověk vybírá hotovost z bankomatu. Pokud ale člověk na pokyn podvodníka sám převedl peníze na „bezpečný účet“, jde zpravidla o autorizovanou platbu a okamžité vrácení mu automaticky nenáleží.

Pokud už peníze odešly, plyne z rozhodnutí jednoduchý postup. Stržení, které jste neautorizovali, je třeba bance nahlásit okamžitě: rychlé nahlášení soud označuje za podmínku vrácení. Banka v EU pak musí peníze vrátit do konce následujícího pracovního dne a nedbalost klienta může dokazovat až potom. Pokud se banka brání, odvolejte se na rozhodnutí ve věci C-70/25.

V NVB podle nizozemského tisku soudí, že rozhodnutí mění lhůtu pro vrácení, ne to, kdo nakonec ztrátu ponese. Zčásti je to pravda. Pořadí ale hraje roli: jedna věc je čekat měsíce a soudit se o vlastní peníze, druhá je dostat je hned druhý den a sledovat, jestli se banka odhodlá vinu dokazovat.

Co je ještě nedbalost

Tady začne další spor. Zpětně působí naivně přiložit kartu k telefonu, protože o to požádala „banka“. Ještě před pár lety ale o takovém triku skoro nikdo neslyšel. Nizozemský finanční ombudsman Kifid na jaře 2026 vyzval banky, aby pochybnosti častěji vykládaly ve prospěch klienta: podvodníci postupují příliš obratně.

U schématu s bankomatem je teď první krok jasný, druhý ne. Soudy zatím neodpověděly na hlavní otázku. Dá se za hrubou nedbalost označit důvěra v hlas, který neuronová síť udělala podobným vaší bance, a v žádost, se kterou se nizozemská policie v takové podobě setkala poprvé?