הכרטיס נשאר ביד, והכסף נמשך מכספומט בעיר אחרת

השיחה נפתחת בהקלטה. קול רגוע מדווח על פעילות חשודה בחשבון שלכם ומבקש להקיש 1 אם לא אישרתם אותה. אחר כך עולה על הקו “נציג בנק” אדיב. צריך לחסום את הכרטיס מיד, הוא אומר, אז בבקשה התקינו את האפליקציה הזאת והצמידו את הכרטיס לגב הטלפון. אתם עושים את זה. באותו רגע ממש, בעיר אחרת, בחור צעיר מקרב את הטלפון שלו לכספומט ומושך מזומן מהכרטיס שלכם — זה שעדיין מונח בכף ידכם.

זו השיטה שלפי משטרת הולנד הפעילה חבורה אחת, עד שיחידת הסייבר של רוטרדם פירקה אותה באוקטובר 2026. בשלושת השבועות שבהם החוקרים עקבו אחריה הם ספרו כ-170 קורבנות והפסדים של 380,000 אירו, ולא מדובר רק בפנסיונרים: עשרות מהם היו בשנות העשרים והשלושים לחייהם. הטריק עצמו בן שנתיים לפחות. החידוש הוא הקולות שנוצרו בבינה מלאכותית, והשאלה שהם גוררים אחריהם: מי מחזיר את הכסף למי שהצמיד בעצמו את הכרטיס שלו לטלפון שלו?

כרטיס שנמתח על פני האינטרנט

תשלום ללא מגע פועל על NFC, קישור רדיו שעובד למרחק של סנטימטרים ספורים. המסוף או הכספומט שולחים לכרטיס אתגר, השבב עונה, והתשובה הזאת מוכיחה לבנק שהכרטיס אמיתי. הכול נשען על פיזיקה פשוטה: אם השבב עונה, הכרטיס חייב להיות ממש כאן.

אפליקציית ההונאה מרמה את הפיזיקה הזאת. היא קוראת את תשובות השבב דרך אנטנת ה-NFC בטלפון של הקורבן ומעבירה אותן, דרך שרת, לטלפון שני שבידי השותף. השותף מצמיד את הטלפון הזה לכספומט, והמכשיר “רואה” כרטיס שנמצא בפועל בקצה השני של המדינה. הכרטיס לא מועתק אלא מוארך: כבל בלתי נראה, באורך עשרות קילומטרים, נמתח בין השבב למכונת המזומנים.

משטרת הולנד מתארת את ההעברה. בזמן שהקורבן הצמיד את הכרטיס לטלפון, “פינר” עם אותה אפליקציה כבר חיכה ליד כספומט או מסוף תשלום. (הפועל ההולנדי pinnen פירושו למשוך מזומן, ומכאן הכינוי לשותף שאוסף אותו.) אלפי אירו יצאו, והקורבנות לא שמו לב. הודעת המשטרה לא מפרטת איך החבורה השיגה את הקודים הסודיים. דובר משטרה אמר לגוף השידור RTL Nieuws שלפעמים אפילו לא צריך קוד, בלי לומר לאילו עסקאות התכוון. בשיטה דומה בצ’כיה הקורבנות הקלידו אותו ישר לתוך האפליקציה. לכן המשטרה חוזרת שוב ושוב על שלושה דברים שהבנק לעולם לא יבקש מכם: להוריד אפליקציה, להצמיד את הכרטיס לטלפון או למסור את הקוד.

נולד במעבדה אוניברסיטאית

למתקפה יש אילן יוחסין אקדמי. סטודנטים במעבדת Secure Mobile Networking שבאוניברסיטה הטכנית של דרמשטאט בגרמניה בנו את NFCGate, אפליקציית אנדרואיד בקוד פתוח שלוכדת, מקליטה ומעבירה אותות NFC בין שני מכשירים. תפקידה לעזור לחוקרים לבחון לעומק פרוטוקולים ללא מגע. דף הפרויקט מבקש במפורש לא להשתמש בה למטרות זדוניות.

לא כולם הקשיבו. באוגוסט 2024 תיארו חוקרים בחברת האבטחה ESET את NGate, הנוזקה הראשונה הידועה שנבנתה על בסיס NFCGate. לקוחות של שלושה בנקים צ’כיים קיבלו הודעות טקסט על החזר מס; הקורבנות התקינו אפליקציית בנק מזויפת, הזינו את הקוד והצמידו את הכרטיס לטלפון. במרץ 2024 עצרה משטרת פראג צעיר בן 22 שמשך מזומן מכספומטים. היו עליו 160,000 קורונות צ’כיות (כ-6,000 אירו), שלפי המשטרה הגיעו משלושת הקורבנות האחרונים בלבד.

מכאן השיטה עברה לייצור המוני. במחצית הראשונה של 2025 רשמה ESET פי 35 ויותר מתקפות NFC מאשר במחצית השנייה של 2024. באותו אביב חשפו חוקרים באיטליה את SuperCard X — אותו טריק בדיוק, שנמכר כמנוי דרך ערוצי טלגרם, כולל שירות לקוחות. מחברי NFCGate, בינתיים, מציינים עכשיו בדף הפרויקט שתוכנות אנטי-וירוס ממשיכות לבלבל בין כלי המחקר שלהם לבין NGate.

קול שנשמע כמו הבנק שלכם

החבורה מרוטרדם הוסיפה לטכניקה הישנה מרכיב חדש אחד: הקול. הנוכלים השתמשו בבינה מלאכותית כדי להפיק עשרות הקלטות בקולות שונים, בהתחזות לבנקים ולחברות שונות. מה שהבינה המלאכותית קנתה להם הוא היקף: חבורה קטנה אחת יכלה להישמע כמו ארגונים רבים, לכל אחד קול משלו, בלי לשכור ולו קריין אחד. שיחה אוטומטית עם תפריט נשמעת כמו הודעת שירות רגילה, והקשה על 1 לא מרגישה מסוכנת. אחר כך נכנס לתמונה אדם חי, שעבד לפי תסריט שנועד ליצור תחושת דחיפות.

“זה כבר לא נוכל שעומד בדלת, אלא מתקשר משכנע שמשדר מקצועיות מוחלטת,” אמר רובן ואן וֶל מיחידת הסייבר של רוטרדם. לדבריו, החוקרים לא נתקלו מעולם בשיטה הטכנית הזאת.

מה שהופך את השיטה למסוכנת הוא שהיא מרגישה כמו הגנה. הכרטיס לא יוצא מהידיים שלכם, אז אתם חושבים שאתם שומרים על החשבון, מציין HCC, מועדון משתמשי מחשב הולנדי. הקשה על 1, התקנת האפליקציה, הצמדת הכרטיס: כל צעד נראה כמו אמצעי ביטחון, לא כמו סיכון.

הבנקים הבחינו בזינוק באמצע ספטמבר, וב-6 באוקטובר עצרה המשטרה שני גברים: בן 23 שחשוד בתכנון השיטה ובן 25 שחשוד בתיאומה. שניהם במעצר; איש מהם לא הורשע.

מי מחזיר לכם את הכסף

לקורבנות הצרות האמיתיות מתחילות אחרי השיחה. הבנק יכול לומר: התקנת את האפליקציה והצמדת את הכרטיס, וזו רשלנות חמורה. בנקים בהולנד אומרים את זה לעיתים קרובות יותר ויותר. לפי איגוד הבנקים ההולנדי (NVB), ב-2021 החזירו הבנקים 92% מההפסדים מהונאות של מוקד בנק מזויף, וב-2024 רק 48%. ב-2025 איבדו כמעט 5,900 קורבנות קרוב ל-26 מיליון אירו יחד.

ב-15 באוקטובר 2026 נכנס לחשבון הזה בית הדין לצדק של האיחוד האירופי. הטריק בתיק שלו היה שונה, אבל המאבק זהה: הבנק סירב והאשים את חוסר הזהירות של הלקוחה. תיק C-70/25 התחיל בפולין. אישה מכרה משהו באתר מודעות; “קונה” שלח לה קישור, כביכול כדי לאשר את המכירה, והיא הקלידה את פרטי הכניסה לבנק המקוון שלה בדף מזויף. כ-700 אירו יצאו מהחשבון. היא דיווחה על כך למחרת, אבל הבנק סירב להחזיר לה את הכסף: לדעתו, היא יכלה להאשים רק את עצמה.

בית הדין פסק שזה אסור, והפך את סדר הדברים.

הנימוק של בית הדין היה פשוט: אם בנקים יכלו לסרב מלכתחילה, החובה להחזיר מיד הייתה מאבדת כל משמעות. הלקוחות היו צריכים לפנות לבית המשפט בעצמם, על כל העלות והטרחה. פסק הדין מחייב את בתי המשפט בכל האיחוד האירופי, אם כי הסכסוך הפולני עצמו יוכרע בבית משפט פולני. הוא חל על עסקאות שהלקוח לא אישר, כמו זר שמושך מזומן מכספומט. אם קורבן ממלא הוראות של נוכל ומעביר בעצמו כסף ל"חשבון בטוח", זה בדרך כלל נחשב לתשלום מאושר, והחזר מיידי אינו מובטח.

אם הכסף כבר נעלם, פסק הדין מציע סדר פעולות פשוט. דווחו לבנק על העסקה הלא מאושרת מיד, כי בית הדין הופך דיווח מהיר לתנאי להחזר. באיחוד האירופי הבנק צריך אז להחזיר לכם את הכסף עד סוף יום העסקים הבא, ולהתווכח על חוסר הזהירות שלכם רק אחר כך; פסק הדין שכדאי לצטט הוא זה שבתיק C-70/25.

עמדת ה-NVB, כך מדווחת התקשורת ההולנדית, היא שפסק הדין משנה את מועד ההחזר, לא את השאלה מי נושא בהפסד בסופו של דבר. יש בזה מן האמת. אבל לתזמון יש משקל. לחכות חודשים ולתבוע את הכסף שלך זה דבר אחד; לקבל אותו למחרת ולראות אם הבנק בכלל יטרח להוכיח שאשמת — זה דבר אחר לגמרי.

מה נחשב רשלנות

כאן יתנהל הקרב הבא. להצמיד את הכרטיס לטלפון כי “הבנק” ביקש נראה תמים במבט לאחור, אבל לפני שנתיים כמעט אף אחד לא שמע על הטריק הזה. באביב 2026 קרא Kifid, הגוף ההולנדי לבירור תלונות בענייני כספים, לבנקים לתת ללקוחות ליהנות מהספק לעיתים קרובות יותר, כי העבריינים מיומנים כל כך בתמרון הקורבנות שלהם.

בשיטת הכספומט הצעד הראשון ברור עכשיו, והשני לא. אף בית משפט עוד לא ענה על השאלה האמיתית: האם זו רשלנות חמורה לסמוך על קול שנוצר כדי להישמע כמו הבנק שלכם, עם בקשה שמשטרת הולנד מעולם לא ראתה בצורה הזאת?