// Sisältö
Puhelu alkaa nauhoitteella. Rauhallinen ääni kertoo tililläsi havaitusta epäilyttävästä toiminnasta ja pyytää painamaan 1, jos et ole hyväksynyt tapahtumaa. Sitten linjalle tulee kohtelias ”pankin työntekijä”. Korttisi on suljettava heti, hän sanoo, joten asenna tämä sovellus ja pidä korttia puhelimen takakantta vasten. Teet niin. Samalla hetkellä toisessa kaupungissa nuori mies pitää omaa puhelintaan pankkiautomaatin edessä ja nostaa käteistä kortiltasi, joka on yhä sinun kädessäsi.
Juuri tällä kaavalla toimi Alankomaiden poliisin mukaan eräs ryhmä, kunnes Rotterdamin kyberrikosyksikkö hajotti sen lokakuussa 2026. Niiden kolmen viikon aikana, jotka tutkijat seurasivat toimintaa, he laskivat noin 170 uhria ja 380 000 euron menetykset. Eivätkä uhrit olleet pelkkiä eläkeläisiä: kymmenet olivat parikymppisiä ja kolmikymppisiä. Itse temppu on ainakin kaksi vuotta vanha. Uutta ovat tekoälyllä tuotetut äänet ja kysymys, jonka ne tuovat mukanaan: kuka korvaa rahat ihmiselle, joka painoi oman korttinsa omaa puhelintaan vasten?
Kortti, joka venyi internetin yli
Lähimaksu perustuu NFC:hen, radioyhteyteen, joka toimii muutaman sentin päähän. Maksupääte tai pankkiautomaatti lähettää kortille haasteen, siru vastaa, ja vastauksesta pankki tietää kortin olevan aito. Kaikki nojaa yksinkertaiseen fysiikkaan: jos siru vastaa, kortin täytyy olla aivan vieressä.
Huijaussovellus huijaa tätä fysiikkaa. Se lukee sirun vastaukset uhrin puhelimen NFC-antennin kautta ja välittää ne palvelimen kautta toiseen puhelimeen, joka on rikoskumppanin kädessä. Kumppani näyttää puhelinta pankkiautomaatille, ja automaatti ”näkee” kortin, joka on todellisuudessa maan toisella laidalla. Korttia ei niinkään kopioida kuin jatketa: sirun ja käteisautomaatin välille kulkee näkymätön, kymmenien kilometrien mittainen kaapeli.
Alankomaiden poliisi kuvaa, miten vaihto tapahtui. Kun uhri piti korttia puhelinta vasten, samalla sovelluksella varustettu ”pinner” odotti jo pankkiautomaatilla tai maksupäätteellä. (Hollannin verbi pinnen tarkoittaa käteisen nostamista, siitä nimi rahat noukkivalle rikoskumppanille.) Tililtä lähti tuhansia euroja, eivätkä uhrit huomanneet mitään. Poliisin tiedotteessa ei kerrota, miten ryhmä sai PIN-koodit. Poliisin tiedottaja kertoi RTL Nieuws -kanavalle, että joskus PIN-koodia ei edes tarvita, mutta ei sanonut, mitä tapahtumia hän tarkoitti. Samankaltaisessa tšekkiläisessä huijauksessa uhrit näppäilivät sen suoraan sovellukseen. Siksi poliisi toistaa kolmea asiaa, joita pankkisi ei koskaan pyydä: lataamaan sovellusta, pitämään korttia puhelinta vasten tai kertomaan PIN-koodia.
Syntynyt yliopiston laboratoriossa
Hyökkäyksellä on akateeminen sukupuu. Saksalaisen Darmstadtin teknillisen yliopiston Secure Mobile Networking Labin opiskelijat rakensivat NFCGaten, avoimen lähdekoodin Android-sovelluksen, joka sieppaa, tallentaa ja välittää NFC-signaaleja kahden laitteen välillä. Sen tehtävä on auttaa tutkijoita koettelemaan lähimaksuprotokollia. Projektisivulla pyydetään suoraan sanoin, ettei sitä käytettäisi pahantahtoisiin tarkoituksiin.
Kaikki eivät kuunnelleet. Elokuussa 2024 tietoturvayhtiö ESETin tutkijat kuvasivat NGaten, ensimmäisen tunnetun NFCGaten varaan rakennetun haittaohjelman. Kolmen tšekkiläisen pankin asiakkaat saivat tekstiviestejä veronpalautuksesta; uhrit asensivat sitten väärennetyn pankkisovelluksen, syöttivät PIN-koodinsa ja pitivät korttia puhelinta vasten. Maaliskuussa 2024 Prahan poliisi pidätti 22-vuotiaan, joka oli nostanut käteistä pankkiautomaateista. Hänellä oli mukanaan 160 000 Tšekin korunaa (noin 6 000 euroa), jotka poliisin mukaan olivat peräisin vain kolmelta viimeiseltä uhrilta.
Sen jälkeen kaava siirtyi massatuotantoon. Vuoden 2025 alkupuoliskolla ESET kirjasi yli 35 kertaa enemmän NFC-hyökkäyksiä kuin vuoden 2024 loppupuoliskolla. Samana keväänä italialaiset tutkijat löysivät SuperCard X:n: saman tempun tilauspalveluna Telegram-kanavien kautta, asiakastuki mukaan lukien. NFCGaten tekijät puolestaan huomauttavat nykyään projektisivullaan, että virustorjuntaohjelmat erehtyvät jatkuvasti pitämään heidän tutkimustyökaluaan NGatena.
Ääni, joka kuulostaa pankiltasi
Rotterdamin ryhmä lisäsi vanhaan tekniikkaan yhden uuden ainesosan: äänen. Huijarit tuottivat tekoälyllä kymmeniä nauhoitteita eri äänillä ja esiintyivät eri pankkeina ja yrityksinä. Tekoäly toi heille mittakaavaa: yksi pieni ryhmä pystyi kuulostamaan monelta eri organisaatiolta, jokainen omalla äänellään, palkkaamatta ainuttakaan ääninäyttelijää. Automaattinen puhelu valikkoineen kuulostaa tavalliselta palveluviestiltä, eikä ykkösen painaminen tunnu riskiltä. Sitten ohjat otti elävä ihminen, joka luki käsikirjoitusta, jonka tarkoitus oli luoda kiireen tuntua.
”Ovella ei enää seiso huijari, vaan puhelimessa on vakuuttava soittaja, joka vaikuttaa äärimmäisen ammattimaiselta”, sanoi Ruben van Well Rotterdamin kyberrikosyksiköstä. Hän lisäsi, etteivät tutkijat olleet koskaan aiemmin nähneet tällaista teknistä menetelmää.
Kaavan tekee vaaralliseksi se, että se tuntuu suojaukselta. Kortti ei lähde käsistäsi, joten luulet suojaavasi tiliäsi, huomauttaa hollantilainen tietokoneenkäyttäjien yhdistys HCC. Ykkösen painaminen, sovelluksen asentaminen, kortin näyttäminen: jokainen askel näyttää turvatoimelta eikä riskiltä.
Pankit huomasivat piikin syyskuun puolivälissä, ja 6. lokakuuta poliisi pidätti kaksi miestä: 23-vuotiaan, jota epäillään kaavan aivoiksi, ja 25-vuotiaan, jota epäillään sen koordinoinnista. Molemmat ovat vangittuina; kumpaakaan ei ole tuomittu.
Kuka maksaa takaisin
Uhrin todelliset ongelmat alkavat vasta puhelun jälkeen. Pankki voi sanoa: asensit sovelluksen ja pidit korttia puhelinta vasten, eli kyse on törkeästä huolimattomuudesta. Alankomaiden pankit sanovat niin yhä useammin. Hollannin pankkiyhdistyksen (NVB) mukaan pankit korvasivat vuonna 2021 valepankkipalvelupetoksista 92 % menetyksistä ja vuonna 2024 enää 48 %. Vuonna 2025 lähes 5 900 uhria menetti yhteensä lähes 26 miljoonaa euroa.
Euroopan unionin tuomioistuin puuttui tähän laskelmaan 15. lokakuuta 2026. Sen käsittelemässä tapauksessa temppu oli eri, mutta kiista sama: pankki kieltäytyi ja syytti asiakkaan huolimattomuutta. Asia C-70/25 sai alkunsa Puolasta. Nainen myi jotain verkkokauppapaikalla; ”ostaja” lähetti hänelle linkin, jonka piti vahvistaa kauppa, ja nainen näppäili verkkopankkitunnuksensa väärennetylle sivulle. Hänen tililtään lähti noin 700 euroa. Hän ilmoitti asiasta seuraavana päivänä, mutta pankki ei suostunut korvaamaan: sen mielestä nainen sai syyttää vain itseään.
Tuomioistuin linjasi, ettei näin saa toimia, ja käänsi tapahtumien järjestyksen päälaelleen.
// Mitä EU-tuomioistuimen ratkaisu muuttaa
Miten pankit vastasivat
- Olit törkeän huolimaton, joten korvausta ei tule.
- Jos olet eri mieltä, haasta meidät itse oikeuteen.
Miten nyt toimitaan
- Jos asiakas ei hyväksynyt maksutapahtumaa ja ilmoitti siitä viipymättä, pankki korvaa sen seuraavan pankkipäivän loppuun mennessä.
- Myöhemmin pankki voi vaatia rahat takaisin, mutta sen on itse näytettävä toteen tahallisuus tai törkeä huolimattomuus.
- Välitön kieltäytyminen on sallittu vain, jos pankki epäilee asiakasta petoksesta ja ilmoittaa siitä viranomaisille.
Tuomioistuimen perustelu oli selvä: jos pankit voisivat kieltäytyä heti alkuun, velvollisuus korvata välittömästi menettäisi merkityksensä. Asiakkaiden pitäisi lähteä itse oikeuteen, kaikkine kuluineen ja vaivoineen. Ratkaisu sitoo tuomioistuimia koko EU:ssa, vaikka itse puolalaisen kiistan ratkaisee puolalainen tuomioistuin. Se koskee maksutapahtumia, joita asiakas ei ole hyväksynyt, kuten vieraan ihmisen käteisnostoa pankkiautomaatilta. Jos uhri noudattaa huijarin ohjeita ja siirtää itse rahaa ”turvatilille”, kyse on yleensä hyväksytystä maksusta, eikä välitön korvaus ole itsestäänselvyys.
Jos rahat ovat jo menneet, ratkaisusta voi johtaa yksinkertaisen järjestyksen. Ilmoita luvattomasta maksutapahtumasta pankillesi heti, sillä tuomioistuin tekee viipymättömästä ilmoituksesta korvauksen ehdon. EU:ssa pankin on sitten maksettava rahat takaisin seuraavan pankkipäivän loppuun mennessä, ja huolimattomuudestasi se voi kiistellä myöhemmin; vedota kannattaa asian C-70/25 tuomioon.
NVB:n kanta on hollantilaisen median mukaan, että ratkaisu muuttaa sen, milloin korvaus maksetaan, ei sitä, kuka lopulta kantaa menetyksen. Siinä on perää. Mutta ajoituksella on väliä. Kuukausien odottaminen ja oikeusjuttu omista rahoista on yksi asia; rahojen saaminen takaisin seuraavana päivänä ja sen seuraaminen, viitsiikö pankki edes näyttää syyllisyytesi toteen, on aivan toinen.
Mikä lasketaan huolimattomuudeksi
Siinä käydään seuraava kamppailu. Kortin pitäminen puhelinta vasten, koska ”pankki” pyysi, näyttää jälkikäteen naiivilta, mutta pari vuotta sitten tuskin kukaan oli kuullut tästä tempusta. Keväällä 2026 Alankomaiden rahoitusalan valituselin Kifid kehotti pankkeja antamaan asiakkaille epäilyksen hyödyn useammin, koska rikolliset ovat niin taitavia käsittelemään uhrejaan.
Pankkiautomaattihuijauksessa ensimmäinen askel on nyt selvä, toinen ei. Yksikään tuomioistuin ei ole vielä vastannut todelliseen kysymykseen: onko törkeää huolimattomuutta luottaa ääneen, joka on tuotettu kuulostamaan pankiltasi ja joka esittää pyynnön, jollaista Alankomaiden poliisi ei ollut ennen nähnyt tässä muodossa?
