Tu tarjeta nunca salió de tu mano, pero el dinero salió de un cajero lejano

La llamada empieza con una grabación. Una voz serena informa de actividad sospechosa en tu cuenta y te pide que pulses 1 si no la has autorizado tú. Después se pone al teléfono un amable «empleado del banco». Hay que bloquear la tarjeta ya, te dice, así que instala esta aplicación y acerca la tarjeta a la parte trasera del móvil. Lo haces. En ese mismo instante, en otra ciudad, un chaval acerca su propio teléfono a un cajero y saca dinero de tu tarjeta, que sigue en tu mano.

Ese es el guion que, según la policía neerlandesa, siguió un grupo hasta que el equipo de cibercrimen de Róterdam lo desarticuló en octubre de 2026. En las tres semanas que los investigadores lo vigilaron contaron unas 170 víctimas y 380.000 euros en pérdidas, y no eran solo jubilados: decenas tenían veintitantos y treinta y tantos años. El truco en sí tiene al menos dos años. Lo nuevo son las voces generadas con IA, y la pregunta que arrastran consigo: ¿quién le devuelve el dinero a alguien que acercó su propia tarjeta a su propio móvil?

Una tarjeta estirada a través de internet

El pago sin contacto funciona con NFC, un enlace de radio que alcanza unos pocos centímetros. El terminal o el cajero lanza un desafío a la tarjeta, el chip responde y esa respuesta le confirma al banco que la tarjeta es auténtica. Todo descansa en una física sencilla: si el chip contesta, la tarjeta tiene que estar ahí mismo.

La aplicación fraudulenta hace trampa con esa física. Lee las respuestas del chip a través de la antena NFC del móvil de la víctima y las reenvía, vía un servidor, a un segundo teléfono que tiene en la mano un cómplice. El cómplice acerca ese teléfono a un cajero, y la máquina «ve» una tarjeta que en realidad está en la otra punta del país. La tarjeta no se copia, más bien se alarga: entre el chip y el cajero se tiende un cable invisible de decenas de kilómetros.

La policía neerlandesa describe el relevo. Mientras la víctima apretaba la tarjeta contra el móvil, un «pinner» con la misma aplicación ya esperaba ante un cajero o un terminal de pago. (El verbo neerlandés pinnen significa sacar dinero en efectivo; de ahí el nombre del cómplice que lo recoge). Salían miles de euros y las víctimas no se daban cuenta. El comunicado policial no explica cómo conseguía el grupo los PIN. Un portavoz de la policía contó a la cadena RTL Nieuws que a veces ni siquiera hace falta el PIN, sin aclarar a qué operaciones se refería. En un esquema parecido en Chequia, las víctimas lo tecleaban directamente en la aplicación. Por eso la policía repite una y otra vez las tres cosas que tu banco nunca te pedirá: descargar una aplicación, acercar la tarjeta al móvil o darle tu PIN.

Nacido en un laboratorio universitario

El ataque tiene árbol genealógico académico. Estudiantes del Secure Mobile Networking Lab de la Universidad Técnica de Darmstadt, en Alemania, crearon NFCGate, una aplicación de código abierto para Android que capta, graba y retransmite señales NFC entre dos dispositivos. Su función es ayudar a los investigadores a poner a prueba los protocolos sin contacto. La página del proyecto pide, con todas las letras, que no se use con fines maliciosos.

No todo el mundo hizo caso. En agosto de 2024, investigadores de la firma de seguridad ESET describieron NGate, el primer malware conocido basado en NFCGate. Clientes de tres bancos checos recibieron SMS sobre una devolución de impuestos; las víctimas instalaban después una falsa aplicación bancaria, introducían su PIN y acercaban la tarjeta al móvil. En marzo de 2024 la policía de Praga detuvo a un joven de 22 años que había estado sacando dinero de cajeros. Llevaba encima 160.000 coronas checas (unos 6000 euros), que según la policía procedían solo de las tres últimas víctimas.

A partir de ahí el esquema pasó a producción en serie. En el primer semestre de 2025, ESET registró más de 35 veces más ataques NFC que en el segundo semestre de 2024. Esa primavera, investigadores en Italia dieron con SuperCard X: el mismo truco vendido por suscripción a través de canales de Telegram, con atención al cliente incluida. Mientras tanto, los autores de NFCGate advierten ahora en la página del proyecto de que los antivirus no dejan de confundir su herramienta de investigación con NGate.

Una voz que suena a tu banco

El grupo de Róterdam añadió un ingrediente nuevo a la vieja técnica: la voz. Los estafadores usaron IA para producir decenas de grabaciones con voces distintas, haciéndose pasar por diversos bancos y empresas. Lo que les dio la IA fue escala: un grupo pequeño podía sonar como muchas organizaciones diferentes, cada una con su propia voz, sin contratar a un solo locutor. Una llamada automática con menú suena a aviso rutinario de servicio, y pulsar 1 no parece arriesgado. Luego tomaba el relevo una persona de carne y hueso, que seguía un guion pensado para meter prisa.

«Ya no es un timador llamando a la puerta, sino alguien al teléfono muy convincente que transmite una imagen extremadamente profesional», dijo Ruben van Well, del equipo de cibercrimen de Róterdam. Añadió que los investigadores nunca habían visto antes este método técnico.

Lo que hace peligroso el esquema es que parece protección. La tarjeta no sale de tus manos, así que crees que estás protegiendo tu cuenta, señala HCC, un club neerlandés de usuarios de informática. Pulsar 1, instalar la aplicación, acercar la tarjeta: cada paso parece una medida de seguridad, no un riesgo.

Los bancos detectaron un repunte a mediados de septiembre, y el 6 de octubre la policía detuvo a dos hombres: uno de 23 años, sospechoso de idear el esquema, y otro de 25, sospechoso de coordinarlo. Ambos están en prisión preventiva; ninguno ha sido condenado.

Quién te devuelve el dinero

Para las víctimas, el verdadero problema empieza después de colgar. El banco puede decir: instalaste la aplicación y acercaste la tarjeta, así que es negligencia grave. Los bancos neerlandeses lo dicen cada vez más. Según la Asociación Neerlandesa de Bancos (NVB), los bancos reembolsaron el 92 % de las pérdidas por fraude de falso servicio de atención bancaria en 2021 y apenas el 48 % en 2024. En 2025, casi 5900 víctimas perdieron entre todas cerca de 26 millones de euros.

El 15 de octubre de 2026, el Tribunal de Justicia de la Unión Europea se metió en esas cuentas. El truco de su caso era otro, pero la pelea era la misma: el banco se negó a pagar y culpó al descuido de la clienta. El asunto C-70/25 empezó en Polonia. Una mujer vendía algo en un portal de compraventa en línea; un «comprador» le mandó un enlace, supuestamente para confirmar la venta, y ella introdujo sus claves de banca en línea en una página falsa. De su cuenta salieron unos 700 euros. Lo denunció al día siguiente, pero el banco se negó a devolvérselos: a su juicio, la culpa era solo suya.

El tribunal dictaminó que eso no está permitido, y le dio la vuelta al orden de las cosas.

El razonamiento del tribunal fue sencillo: si los bancos pudieran negarse desde el principio, la obligación de reembolsar de inmediato no serviría de nada. Los clientes tendrían que ir a juicio por su cuenta, con todo el gasto y las molestias que eso supone. La sentencia vincula a los tribunales de toda la UE, aunque el litigio polaco en sí lo resolverá un tribunal polaco. Se aplica a las operaciones que el cliente no autorizó, como un desconocido sacando dinero en un cajero. Si la víctima sigue las instrucciones de un estafador y transfiere ella misma el dinero a una «cuenta segura», eso suele contar como pago autorizado, y el reembolso inmediato no es automático.

Si el dinero ya ha volado, la sentencia sugiere una secuencia sencilla. Comunica la operación no autorizada a tu banco cuanto antes, porque el tribunal convierte el aviso rápido en condición del reembolso. En la UE, el banco tiene entonces que devolverte el dinero antes de que acabe el siguiente día hábil y ya discutirá después tu descuido; la sentencia del asunto C-70/25 es la que hay que citar.

La postura de la NVB, según los medios neerlandeses, es que la sentencia cambia cuándo llega el reembolso, no quién acaba asumiendo la pérdida. En parte es cierto. Pero los plazos importan. Esperar meses y demandar para recuperar tu propio dinero es una cosa; recuperarlo al día siguiente y ver si el banco se molesta en demostrar que la culpa fue tuya es otra muy distinta.

Qué cuenta como descuido

Ahí estará la próxima batalla. Acercar la tarjeta al móvil porque «el banco» te lo pidió parece ingenuo visto a posteriori, pero hace un par de años casi nadie había oído hablar de este truco. En la primavera de 2026, Kifid, el organismo neerlandés de reclamaciones financieras, instó a los bancos a conceder con más frecuencia el beneficio de la duda a sus clientes, porque los delincuentes son muy hábiles manipulando a sus víctimas.

En el esquema de los cajeros, el primer paso ya está claro y el segundo no. Ningún tribunal ha respondido todavía a la pregunta de fondo: ¿es negligencia grave fiarse de una voz generada para sonar como tu banco, que hace una petición que la policía neerlandesa nunca había visto antes en esta forma?