Votre carte n'a pas quitté votre main, l'argent a quitté un distributeur au loin

L’appel commence par un message enregistré. Une voix posée signale une activité suspecte sur votre compte et vous demande de taper 1 si vous n’êtes pas à l’origine de l’opération. Puis un « conseiller bancaire » très courtois prend le relais. Il faut bloquer votre carte tout de suite, explique-t-il : installez cette application et posez la carte contre le dos de votre téléphone. Vous obéissez. Au même instant, dans une autre ville, un jeune homme approche son propre téléphone d’un distributeur et retire de l’argent avec votre carte, qui n’a pas quitté votre main.

C’est le mode opératoire qu’une bande a appliqué, selon la police néerlandaise, jusqu’à ce que l’équipe cybercriminalité de Rotterdam la démantèle en octobre 2026. En trois semaines de surveillance, les enquêteurs ont recensé environ 170 victimes et 380 000 € de préjudice, et pas seulement des retraités : des dizaines avaient la vingtaine ou la trentaine. L’astuce elle-même a au moins deux ans. Ce qui est nouveau, ce sont les voix générées par IA, et la question qu’elles traînent derrière elles : qui rembourse quelqu’un qui a lui-même collé sa carte contre son propre téléphone ?

Une carte étirée à travers Internet

Le paiement sans contact repose sur le NFC, une liaison radio qui fonctionne sur quelques centimètres. Le terminal ou le distributeur envoie un défi à la carte, la puce répond, et cette réponse prouve à la banque que la carte est authentique. Tout tient à une loi physique toute simple : si la puce répond, c’est que la carte est là.

L’application frauduleuse triche avec cette physique. Elle lit les réponses de la puce grâce à l’antenne NFC du téléphone de la victime et les transmet, via un serveur, à un second téléphone tenu par un complice. Celui-ci approche l’appareil d’un distributeur, et la machine « voit » une carte qui se trouve en réalité à l’autre bout du pays. La carte n’est pas tant copiée que prolongée : un câble invisible de plusieurs dizaines de kilomètres relie la puce au distributeur.

La police néerlandaise décrit le passage de relais. Pendant que la victime pressait la carte contre le téléphone, un « pinner » équipé de la même application attendait déjà devant un distributeur ou un terminal de paiement. (En néerlandais, le verbe pinnen signifie retirer des espèces, d’où le nom donné au complice qui les récupère.) Des milliers d’euros sont partis sans que les victimes s’en aperçoivent. Le communiqué de la police ne dit pas comment la bande obtenait les codes PIN. Un porte-parole de la police a déclaré à la chaîne RTL Nieuws que le code n’est parfois même pas nécessaire, sans préciser de quelles opérations il parlait. Dans une arnaque tchèque similaire, les victimes le tapaient directement dans l’application. Voilà pourquoi la police martèle trois choses que votre banque ne vous demandera jamais : télécharger une application, poser votre carte contre votre téléphone ou donner votre code PIN.

Né dans un labo universitaire

L’attaque a un arbre généalogique académique. Des étudiants du Secure Mobile Networking Lab de l’Université technique de Darmstadt, en Allemagne, ont créé NFCGate, une application Android open source qui capte, enregistre et relaie les signaux NFC entre deux appareils. Elle sert aux chercheurs à éprouver les protocoles sans contact. La page du projet demande noir sur blanc de ne pas l’utiliser à des fins malveillantes.

Tout le monde n’a pas écouté. En août 2024, les chercheurs de la société de cybersécurité ESET ont décrit NGate, le premier logiciel malveillant connu bâti sur NFCGate. Des clients de trois banques tchèques recevaient des SMS au sujet d’un remboursement d’impôts ; les victimes installaient ensuite une fausse application bancaire, saisissaient leur code PIN et posaient leur carte contre le téléphone. En mars 2024, la police de Prague a arrêté un homme de 22 ans qui retirait de l’argent aux distributeurs. Il avait sur lui 160 000 couronnes tchèques (environ 6 000 €), provenant, selon la police, des trois dernières victimes seulement.

Ensuite, le procédé est passé à la production de masse. Au premier semestre 2025, ESET a enregistré plus de 35 fois plus d’attaques NFC qu’au second semestre 2024. Ce printemps-là, des chercheurs en Italie ont découvert SuperCard X, la même ruse vendue sur abonnement via des canaux Telegram, service client compris. Les auteurs de NFCGate, eux, signalent désormais sur la page du projet que des antivirus confondent régulièrement leur outil de recherche avec NGate.

Une voix qui sonne comme votre banque

La bande de Rotterdam a ajouté un seul ingrédient à la vieille technique : la voix. Les escrocs ont fabriqué avec l’IA des dizaines d’enregistrements aux voix différentes, en se faisant passer pour diverses banques et entreprises. Ce que l’IA leur a apporté, c’est l’échelle : un petit groupe pouvait se faire passer pour de nombreuses organisations, chacune avec sa propre voix, sans embaucher le moindre comédien. Un appel automatique avec un menu ressemble à un banal message de service, et taper 1 ne paraît pas risqué. Ensuite, une vraie personne prenait la suite, avec un script conçu pour créer l’urgence.

« Ce n’est plus un escroc qui sonne à la porte, mais un interlocuteur convaincant qui paraît extrêmement professionnel », résume Ruben van Well, de l’équipe cybercriminalité de Rotterdam. Il ajoute que les enquêteurs n’avaient jamais vu cette méthode technique auparavant.

Ce qui rend l’arnaque dangereuse, c’est qu’elle ressemble à une protection. Votre carte ne quitte jamais vos mains, vous croyez donc mettre votre compte à l’abri, note HCC, une association néerlandaise d’utilisateurs d’informatique. Taper 1, installer l’application, présenter la carte : chaque étape a l’air d’une mesure de sécurité, pas d’un danger.

Les banques ont repéré un pic à la mi-septembre, et le 6 octobre la police a arrêté deux hommes : un homme de 23 ans soupçonné d’être le cerveau de l’opération et un autre de 25 ans soupçonné de l’avoir coordonnée. Tous deux sont en détention ; aucun n’a été condamné.

Qui vous rembourse

Pour les victimes, les vrais ennuis commencent après l’appel. La banque peut répondre : vous avez installé l’application et présenté la carte, c’est une négligence grave. Les banques néerlandaises le disent de plus en plus souvent. Selon l’Association néerlandaise des banques (NVB), elles remboursaient 92 % des pertes liées aux faux conseillers bancaires en 2021, et seulement 48 % en 2024. En 2025, près de 5 900 victimes ont perdu près de 26 millions d’euros au total.

Le 15 octobre 2026, la Cour de justice de l’Union européenne s’est invitée dans ces calculs. L’arnaque de son affaire était différente, mais le litige était le même : la banque refusait de rembourser en invoquant l’imprudence de sa cliente. L’affaire C-70/25 est née en Pologne. Une femme vendait un objet sur une plateforme en ligne ; un « acheteur » lui a envoyé un lien, censé confirmer la vente, et elle a saisi ses identifiants de banque en ligne sur une fausse page. Environ 700 € ont quitté son compte. Elle l’a signalé dès le lendemain, mais la banque a refusé de la rembourser : à ses yeux, elle ne pouvait s’en prendre qu’à elle-même.

La Cour a jugé que c’était interdit, et a inversé l’ordre des choses.

Le raisonnement de la Cour est limpide : si les banques pouvaient refuser d’emblée, l’obligation de rembourser immédiatement n’aurait plus aucun sens. Les clients devraient saisir eux-mêmes la justice, avec tous les frais et les tracas que cela suppose. L’arrêt s’impose aux juridictions de toute l’UE, même si le litige polonais sera tranché par un tribunal polonais. Il vise les opérations que le client n’a pas autorisées, comme un inconnu qui retire des espèces à un distributeur. Si une victime suit les instructions d’un escroc et vire elle-même de l’argent vers un « compte sécurisé », il s’agit en général d’un paiement autorisé, et le remboursement immédiat n’a rien d’automatique.

Si l’argent est déjà parti, l’arrêt suggère une marche à suivre simple. Signalez immédiatement l’opération non autorisée à votre banque, car la Cour fait du signalement rapide une condition du remboursement. Dans l’UE, la banque doit alors vous rembourser au plus tard à la fin du jour ouvrable suivant et pourra discuter de votre imprudence plus tard ; l’arrêt à invoquer est celui de l’affaire C-70/25.

Selon la NVB, rapportent les médias néerlandais, l’arrêt change le moment du remboursement, pas qui supporte la perte au final. C’est en partie vrai. Mais le calendrier compte. Attendre des mois et poursuivre sa banque pour récupérer son propre argent, c’est une chose ; être remboursé le lendemain et voir si la banque se donne la peine de prouver votre faute, c’en est une autre.

Où commence l’imprudence

C’est là que se jouera la prochaine bataille. Poser sa carte contre son téléphone parce que « la banque » l’a demandé paraît naïf après coup, mais il y a deux ans presque personne n’avait entendu parler de cette ruse. Au printemps 2026, le Kifid, l’organisme néerlandais de règlement des litiges financiers, a exhorté les banques à accorder plus souvent le bénéfice du doute à leurs clients, tant les criminels savent manipuler leurs victimes.

Pour l’arnaque au distributeur, la première étape est désormais claire, la seconde non. Aucun tribunal n’a encore tranché la vraie question : est-ce une négligence grave de faire confiance à une voix générée pour ressembler à celle de votre banque, qui formule une demande que la police néerlandaise n’avait jamais vue sous cette forme ?