// فهرست مطالب
تماس با یک پیام ضبط‌شده شروع می‌شود. صدایی آرام خبر می‌دهد که در حساب شما فعالیت مشکوکی دیده شده و اگر آن را تأیید نکرده‌اید، عدد ۱ را بزنید. بعد «کارمند بانک» مؤدبی پشت خط می‌آید. می‌گوید کارت باید همین حالا مسدود شود، پس لطفاً این اپلیکیشن را نصب کنید و کارت را به پشت گوشی بچسبانید. شما هم همین کار را می‌کنید. درست در همان لحظه، در شهری دیگر، مرد جوانی گوشی خودش را جلوی یک خودپرداز می‌گیرد و از کارت شما پول نقد بیرون می‌کشد؛ کارتی که هنوز در دست شماست.
این همان نقشه‌ای است که به گفتهٔ پلیس هلند یک گروه اجرا می‌کرد تا اینکه تیم جرائم سایبری روتردام در اکتبر ۲۰۲۶ متلاشی‌اش کرد. در سه هفته‌ای که بازرسان آن را زیر نظر داشتند، حدود ۱۷۰ قربانی و ۳۸۰ هزار یورو خسارت شمردند، و قربانی‌ها فقط بازنشسته‌ها نبودند: ده‌ها نفرشان بیست‌وچندساله و سی‌وچندساله بودند. خود این ترفند دست‌کم دو سال سابقه دارد. چیزی که تازه است، صداهای ساختهٔ هوش مصنوعی است و پرسشی که پشت سرشان می‌آید: چه کسی پول کسی را پس می‌دهد که خودش کارتش را به گوشی خودش چسبانده است؟
کارتی که تا آن سوی اینترنت کش آمد
پرداخت بدون تماس بر پایهٔ NFC کار می‌کند، ارتباطی رادیویی که فقط در فاصلهٔ چند سانتی‌متری برقرار می‌شود. کارتخوان یا خودپرداز برای کارت یک پرسش رمزی می‌فرستد، تراشه پاسخ می‌دهد و همین پاسخ به بانک می‌گوید که کارت اصل است. همه‌چیز به یک قاعدهٔ سادهٔ فیزیکی تکیه دارد: اگر تراشه جواب داد، یعنی کارت همین‌جاست.
اپلیکیشن کلاهبرداری همین فیزیک را دور می‌زند. پاسخ‌های تراشه را با آنتن NFC گوشی قربانی می‌خواند و از طریق یک سرور به گوشی دومی در دست همدست می‌فرستد. همدست آن گوشی را به خودپرداز نزدیک می‌کند و دستگاه کارتی را «می‌بیند» که در واقع آن سر کشور است. کارت کپی نمی‌شود، بلکه کش می‌آید: کابلی نامرئی به طول ده‌ها کیلومتر میان تراشه و دستگاه پول کشیده می‌شود.
پلیس هلند این دست‌به‌دست شدن را توصیف کرده است. در همان حال که قربانی کارت را به گوشی چسبانده بود، یک «پینر» با همان اپلیکیشن کنار خودپرداز یا دستگاه پرداخت منتظر بود. (فعل هلندی pinnen یعنی برداشت پول نقد، و نام همدستی که پول را جمع می‌کند از همین‌جا آمده است.) هزاران یورو بیرون رفت و قربانی‌ها متوجه نشدند. بیانیهٔ پلیس نمی‌گوید گروه رمز کارت‌ها را چطور به دست می‌آورد. یک سخنگوی پلیس به شبکهٔ RTL Nieuws گفت که گاهی اصلاً رمز لازم نیست، بی‌آنکه بگوید منظورش کدام تراکنش‌هاست. در طرحی مشابه در چک، قربانی‌ها رمز را مستقیم در خود اپلیکیشن وارد می‌کردند. برای همین پلیس مدام سه کار را تکرار می‌کند که بانک هرگز از شما نمی‌خواهد: دانلود اپلیکیشن، چسباندن کارت به گوشی و گفتن رمز.
زادهٔ آزمایشگاه دانشگاه
این حمله شجره‌نامه‌ای دانشگاهی دارد. دانشجویان آزمایشگاه Secure Mobile Networking در دانشگاه فنی دارمشتات آلمان NFCGate را ساختند، اپلیکیشن متن‌باز اندرویدی که سیگنال‌های NFC را میان دو دستگاه می‌گیرد، ضبط می‌کند و جابه‌جا می‌کند. کارش این است که به پژوهشگران کمک کند پروتکل‌های بدون تماس را محک بزنند. صفحهٔ پروژه صراحتاً از مردم می‌خواهد از آن برای مقاصد مخرب استفاده نکنند.
همه گوش ندادند. در اوت ۲۰۲۴ پژوهشگران شرکت امنیتی ESET بدافزار NGate را شرح دادند، نخستین بدافزار شناخته‌شده‌ای که روی NFCGate ساخته شده بود. مشتریان سه بانک چک پیامکی دربارهٔ بازگشت مالیات گرفتند؛ قربانی‌ها بعد یک اپلیکیشن بانکی جعلی نصب کردند، رمزشان را وارد کردند و کارت را به گوشی چسباندند. در مارس ۲۰۲۴ پلیس پراگ جوانی ۲۲ ساله را بازداشت کرد که از خودپردازها پول برمی‌داشت. او ۱۶۰ هزار کرون چک (حدود ۶ هزار یورو) همراه داشت که به گفتهٔ پلیس فقط از سه قربانی آخر بود.
پس از آن، این طرح به تولید انبوه رسید. ESET در نیمهٔ نخست ۲۰۲۵ بیش از ۳۵ برابر حملات NFC نیمهٔ دوم ۲۰۲۴ را ثبت کرد. همان بهار پژوهشگران در ایتالیا SuperCard X را پیدا کردند: همان ترفند، این بار به‌صورت اشتراکی در کانال‌های تلگرام فروخته می‌شد، آن هم با پشتیبانی مشتری. سازندگان NFCGate هم حالا در صفحهٔ پروژه‌شان یادآوری می‌کنند که آنتی‌ویروس‌ها مدام ابزار پژوهشی آن‌ها را با NGate اشتباه می‌گیرند.
صدایی شبیه بانک خودتان
گروه روتردام فقط یک مادهٔ تازه به این روش قدیمی اضافه کرد: صدا. کلاهبرداران با هوش مصنوعی ده‌ها پیام ضبط‌شده با صداهای مختلف ساختند و خود را جای بانک‌ها و شرکت‌های گوناگون جا زدند. آنچه هوش مصنوعی برایشان به ارمغان آورد، مقیاس بود: یک گروه کوچک می‌توانست صدای سازمان‌های زیادی را دربیاورد، هر کدام با صدای خودش، بی‌آنکه حتی یک گوینده استخدام کند. تماس خودکار با منوی گزینه‌ها مثل یک پیام خدماتی معمولی به گوش می‌رسد و زدن عدد ۱ خطرناک به نظر نمی‌آید. بعد یک آدم واقعی گوشی را دست می‌گرفت و از روی متنی حرف می‌زد که برای ایجاد حس فوریت نوشته شده بود.
روبن فان ول از تیم جرائم سایبری روتردام گفت: «دیگر با کلاهبرداری دمِ در سروکار نداریم، بلکه با تماس‌گیرنده‌ای قانع‌کننده که فوق‌العاده حرفه‌ای جلوه می‌کند.» او افزود که بازرسان پیش از این هرگز چنین روش فنی‌ای ندیده بودند.
چیزی که این طرح را خطرناک می‌کند، این است که حس محافظت می‌دهد. کارت هرگز از دستتان بیرون نمی‌رود، پس خیال می‌کنید دارید از حسابتان مراقبت می‌کنید؛ این را HCC، باشگاه کاربران رایانه در هلند، یادآوری می‌کند. زدن عدد ۱، نصب اپلیکیشن، نگه داشتن کارت: هر قدم شبیه یک اقدام ایمنی است، نه یک خطر.
بانک‌ها اواسط سپتامبر متوجه جهشی شدند و پلیس در ۶ اکتبر دو مرد را بازداشت کرد: مردی ۲۳ ساله که مظنون است مغز متفکر طرح بوده و مردی ۲۵ ساله که مظنون به هماهنگی آن است. هر دو در بازداشت‌اند؛ هیچ‌کدام محکوم نشده‌اند.
چه کسی پول را پس می‌دهد
برای قربانی‌ها، دردسر اصلی بعد از تماس شروع می‌شود. بانک می‌تواند بگوید: خودت اپلیکیشن را نصب کردی و خودت کارت را جلو گرفتی، پس این سهل‌انگاری شدید است. بانک‌های هلندی این را روزبه‌روز بیشتر می‌گویند. به گفتهٔ انجمن بانک‌های هلند (NVB)، بانک‌ها در ۲۰۲۱ ۹۲٪ خسارت‌های کلاهبرداری با جعل پشتیبانی بانک را جبران کردند و در ۲۰۲۴ فقط ۴۸٪. در ۲۰۲۵ نزدیک به ۵۹۰۰ قربانی روی هم نزدیک به ۲۶ میلیون یورو از دست دادند.
در ۱۵ اکتبر ۲۰۲۶ دیوان دادگستری اتحادیهٔ اروپا وارد این حساب‌وکتاب شد. ترفند در پروندهٔ آن فرق داشت، اما دعوا همان بود: بانک با مقصر دانستن بی‌احتیاطی مشتری، از بازپرداخت سر باز زده بود. پروندهٔ C-70/25 از لهستان شروع شد. زنی چیزی را در یک بازار آنلاین می‌فروخت؛ «خریداری» برایش لینکی فرستاد، ظاهراً برای تأیید فروش، و او اطلاعات ورود به بانکداری اینترنتی‌اش را در صفحه‌ای جعلی وارد کرد. حدود ۷۰۰ یورو از حسابش رفت. فردای آن روز گزارش داد، اما بانک پولش را پس نداد: به نظر بانک، تقصیر فقط با خودش بود.
دیوان رأی داد که چنین کاری مجاز نیست و ترتیب ماجرا را وارونه کرد.
// رأی دیوان اروپا چه چیزی را تغییر می‌دهد
بانک‌ها چه جواب می‌دادند
- سهل‌انگاری شدید کردی، پس بازپرداختی در کار نیست.
- اگر قبول نداری، خودت از ما شکایت کن.
حالا چطور است
- اگر مشتری تراکنش را تأیید نکرده و فوراً گزارش داده باشد، بانک تا پایان روز کاری بعد پول را برمی‌گرداند.
- بانک بعداً می‌تواند پول را پس بخواهد، اما باید خودش عمد یا سهل‌انگاری شدید را ثابت کند.
- رد فوری فقط وقتی مجاز است که بانک به کلاهبرداری خود مشتری مظنون باشد و آن را به مقامات گزارش دهد.
استدلال دیوان ساده بود: اگر بانک‌ها می‌توانستند از همان اول سر باز بزنند، وظیفهٔ بازپرداخت فوری بی‌معنا می‌شد. مشتری‌ها مجبور می‌شدند خودشان به دادگاه بروند، با همهٔ هزینه و دردسرش. این رأی برای دادگاه‌های سراسر اتحادیهٔ اروپا الزام‌آور است، هرچند خود دعوای لهستانی را دادگاهی لهستانی فیصله خواهد داد. این رأی شامل تراکنش‌هایی است که مشتری تأییدشان نکرده، مثل غریبه‌ای که از خودپرداز پول نقد برمی‌دارد. اگر قربانی به دستور کلاهبردار خودش پول را به یک «حساب امن» منتقل کند، این معمولاً پرداختی مجاز به حساب می‌آید و بازپرداخت فوری خودکار نیست.
اگر پول دیگر رفته است، این رأی ترتیب ساده‌ای را پیشنهاد می‌کند. تراکنش غیرمجاز را فوراً به بانک گزارش دهید، چون دیوان گزارش به‌موقع را شرط بازپرداخت دانسته است. در اتحادیهٔ اروپا بانک باید تا پایان روز کاری بعد پولتان را برگرداند و دربارهٔ بی‌احتیاطی شما بعداً بحث کند؛ رأی پروندهٔ C-70/25 همان چیزی است که باید به آن استناد کنید.
به گزارش رسانه‌های هلندی، موضع NVB این است که رأی زمان بازپرداخت را تغییر می‌دهد، نه اینکه در نهایت چه کسی بار خسارت را بر دوش می‌کشد. این تا حدی درست است. اما زمان مهم است. ماه‌ها انتظار کشیدن و شکایت کردن برای پول خودتان یک چیز است؛ پس گرفتنش فردای همان روز و تماشای اینکه آیا بانک اصلاً زحمت اثبات تقصیر شما را به خودش می‌دهد یا نه، چیزی کاملاً دیگر.
بی‌احتیاطی یعنی چه
دعوای بعدی همین‌جا خواهد بود. چسباندن کارت به گوشی چون «بانک» خواسته بود، از نگاه امروز ساده‌لوحانه به نظر می‌رسد، اما چند سال پیش تقریباً هیچ‌کس نام این ترفند را نشنیده بود. در بهار ۲۰۲۶ Kifid، نهاد رسیدگی به شکایات مالی هلند، از بانک‌ها خواست بیشتر به نفع مشتری تردید کنند، چون مجرمان در کار کشیدن از قربانی‌هایشان بسیار ماهرند.
در طرح خودپرداز، قدم اول حالا روشن است و قدم دوم نه. هیچ دادگاهی هنوز به پرسش اصلی پاسخ نداده است: آیا اعتماد به صدایی که ساخته شده تا شبیه بانک شما باشد، با درخواستی که پلیس هلند پیش‌تر هرگز به این شکل ندیده بود، سهل‌انگاری شدید است؟
