कार्ड आपके हाथ में रहा, पर पैसा दूर के एटीएम से निकल गया

कॉल एक रिकॉर्डिंग से शुरू होती है। एक शांत आवाज़ बताती है कि आपके खाते में संदिग्ध गतिविधि दिखी है, और अगर यह आपने नहीं किया तो 1 दबाइए। फिर लाइन पर एक विनम्र “बैंक कर्मचारी” आता है। वह कहता है कि आपका कार्ड फ़ौरन ब्लॉक करना होगा, इसलिए यह ऐप इंस्टॉल कीजिए और कार्ड को फ़ोन के पिछले हिस्से से सटाकर रखिए। आप वैसा ही करते हैं। ठीक उसी पल किसी दूसरे शहर में एक नौजवान अपना फ़ोन एटीएम से सटाता है और आपके कार्ड से नकदी निकाल लेता है, जबकि कार्ड अब भी आपके हाथ में है।

डच पुलिस के मुताबिक़ एक गिरोह यही तरीक़ा तब तक चलाता रहा, जब तक अक्टूबर 2026 में रॉटरडैम की साइबर-अपराध टीम ने उसे पकड़ नहीं लिया। जिन तीन हफ़्तों तक जाँचकर्ता उस पर नज़र रखे हुए थे, उनमें क़रीब 170 लोग शिकार बने और €380,000 का नुक़सान हुआ। और ये सिर्फ़ बुज़ुर्ग नहीं थे: दर्जनों लोग बीस-तीस साल की उम्र के थे। तरकीब ख़ुद कम से कम दो साल पुरानी है। नई हैं एआई से बनी आवाज़ें, और उनके साथ आया एक सवाल: जिसने अपना ही कार्ड अपने ही फ़ोन से सटाया, उसका पैसा कौन लौटाएगा?

इंटरनेट पर खिंचा हुआ कार्ड

कॉन्टैक्टलेस भुगतान NFC पर चलता है, यानी एक रेडियो कड़ी जो कुछ सेंटीमीटर की दूरी पर ही काम करती है। टर्मिनल या एटीएम कार्ड से एक सवाल पूछता है, चिप जवाब देती है, और उसी जवाब से बैंक को पता चलता है कि कार्ड असली है। पूरा भरोसा एक सीधे-सादे भौतिक नियम पर टिका है: अगर चिप जवाब दे रही है, तो कार्ड वहीं मौजूद होगा।

ठगी वाला ऐप इसी नियम को धोखा देता है। वह शिकार के फ़ोन के NFC एंटीना से चिप के जवाब पढ़ता है और उन्हें एक सर्वर के ज़रिए साथी के हाथ में मौजूद दूसरे फ़ोन तक भेज देता है। साथी वह फ़ोन एटीएम से सटाता है, और मशीन को लगता है कि कार्ड सामने है, जबकि असल में वह देश के दूसरे छोर पर होता है। कार्ड की नक़ल नहीं बनती, बल्कि उसे लंबा कर दिया जाता है: चिप और कैश मशीन के बीच दर्जनों किलोमीटर लंबी एक अदृश्य तार बिछ जाती है।

डच पुलिस बताती है कि यह हाथ-बदली कैसे होती थी। जब शिकार कार्ड को फ़ोन से सटाए होता, तब उसी ऐप के साथ एक “पिनर” पहले से किसी एटीएम या पेमेंट टर्मिनल पर इंतज़ार कर रहा होता। (डच क्रिया pinnen का मतलब है नकदी निकालना, इसीलिए पैसा उठाने वाले साथी का यह नाम पड़ा।) हज़ारों यूरो निकल गए और शिकारों को भनक तक नहीं लगी। पुलिस के बयान में यह नहीं बताया गया कि गिरोह को पिन कोड कैसे मिलते थे। पुलिस के एक प्रवक्ता ने प्रसारक RTL Nieuws को बताया कि कभी-कभी पिन की ज़रूरत ही नहीं पड़ती, हालाँकि उन्होंने यह नहीं बताया कि किन लेन-देन की बात हो रही है। चेक गणराज्य की ऐसी ही एक योजना में शिकार ख़ुद ही पिन ऐप में टाइप कर देते थे। इसीलिए पुलिस बार-बार तीन बातें दोहराती है जो आपका बैंक आपसे कभी नहीं कहेगा: कोई ऐप डाउनलोड करना, कार्ड को फ़ोन से सटाना या अपना पिन बताना।

यूनिवर्सिटी की लैब में जन्मा

इस हमले की एक अकादमिक वंशावली है। जर्मनी की टेक्निकल यूनिवर्सिटी ऑफ़ डार्मस्टाट की Secure Mobile Networking Lab के छात्रों ने NFCGate बनाया, एक ओपन-सोर्स एंड्रॉयड ऐप जो दो डिवाइसों के बीच NFC सिग्नल पकड़ता, रिकॉर्ड करता और आगे भेजता है। इसका काम है शोधकर्ताओं को कॉन्टैक्टलेस प्रोटोकॉल की कड़ी जाँच में मदद देना। प्रोजेक्ट के पेज पर साफ़ शब्दों में गुज़ारिश की गई है कि इसे बुरे इरादों से इस्तेमाल न किया जाए।

सबने बात नहीं मानी। अगस्त 2024 में साइबर सुरक्षा कंपनी ESET के शोधकर्ताओं ने NGate के बारे में बताया, जो NFCGate पर बना पहला ज्ञात मैलवेयर था। चेक गणराज्य के तीन बैंकों के ग्राहकों को टैक्स रिफ़ंड के बारे में मैसेज मिले; फिर शिकारों ने एक नक़ली बैंकिंग ऐप इंस्टॉल किया, अपना पिन डाला और कार्ड को फ़ोन से सटाया। मार्च 2024 में प्राग की पुलिस ने एक 22 साल के युवक को गिरफ़्तार किया, जो एटीएम से नकदी निकाल रहा था। उसके पास 1,60,000 चेक कोरुना (लगभग €6,000) थे, और पुलिस के मुताबिक़ ये सिर्फ़ आख़िरी तीन शिकारों के पैसे थे।

इसके बाद यह तरकीब बड़े पैमाने पर फैल गई। 2025 की पहली छमाही में ESET ने 2024 की दूसरी छमाही के मुक़ाबले 35 गुना से भी ज़्यादा NFC हमले दर्ज किए। उसी वसंत इटली के शोधकर्ताओं को SuperCard X मिला: वही तरकीब, जो Telegram चैनलों के ज़रिए सब्सक्रिप्शन पर बिकती थी, बाक़ायदा कस्टमर सपोर्ट के साथ। इस बीच NFCGate के लेखक अब अपने प्रोजेक्ट पेज पर लिखते हैं कि एंटीवायरस सॉफ़्टवेयर उनके शोध उपकरण को बार-बार NGate समझ बैठता है।

आवाज़, जो आपके बैंक जैसी लगती है

रॉटरडैम के गिरोह ने पुरानी तकनीक में एक नया मसाला जोड़ा: आवाज़। ठगों ने एआई से अलग-अलग आवाज़ों में दर्जनों रिकॉर्डिंग बनाईं और ख़ुद को कई बैंकों और कंपनियों का बताया। एआई ने उन्हें पैमाना दिया: एक छोटा-सा गिरोह कई अलग-अलग संस्थाओं जैसा सुनाई दे सकता था, हर एक की अपनी आवाज़ के साथ, और इसके लिए एक भी वॉइस आर्टिस्ट रखने की ज़रूरत नहीं पड़ी। मेन्यू वाली ऑटोमैटिक कॉल किसी आम सर्विस मैसेज जैसी लगती है, और 1 दबाने में कोई ख़तरा महसूस नहीं होता। फिर एक असली इंसान बात संभालता था, जो हड़बड़ी पैदा करने के लिए लिखी स्क्रिप्ट से बोलता था।

रॉटरडैम की साइबर-अपराध टीम के रूबेन वान वेल ने कहा, “अब यह दरवाज़े पर खड़ा कोई ठग नहीं, बल्कि फ़ोन पर एक भरोसेमंद आवाज़ है जो बेहद पेशेवर लगती है।” उन्होंने यह भी जोड़ा कि जाँचकर्ताओं ने यह तकनीकी तरीक़ा पहले कभी नहीं देखा था।

इस योजना को ख़तरनाक बनाती है यह बात कि यह सुरक्षा जैसी महसूस होती है। आपका कार्ड कभी आपके हाथ से नहीं जाता, इसलिए आपको लगता है कि आप अपना खाता बचा रहे हैं, यह कहना है कंप्यूटर इस्तेमाल करने वालों के डच क्लब HCC का। 1 दबाना, ऐप इंस्टॉल करना, कार्ड सटाना: हर क़दम ख़तरा नहीं, बल्कि सावधानी लगता है।

सितंबर के मध्य में बैंकों ने मामलों में अचानक उछाल देखा, और 6 अक्टूबर को पुलिस ने दो लोगों को गिरफ़्तार किया: 23 साल का एक युवक, जिस पर इस योजना का सरगना होने का शक है, और 25 साल का एक युवक, जिस पर इसे संचालित करने का शक है। दोनों हिरासत में हैं; किसी को भी अभी दोषी नहीं ठहराया गया है।

पैसा कौन लौटाएगा

शिकारों की असली मुसीबत कॉल के बाद शुरू होती है। बैंक कह सकता है: ऐप आपने इंस्टॉल किया, कार्ड आपने सटाया, तो यह घोर लापरवाही है। डच बैंक ऐसा ज़्यादा से ज़्यादा कहने लगे हैं। डच बैंकिंग एसोसिएशन (NVB) के मुताबिक़ नक़ली बैंक हेल्पडेस्क ठगी के नुक़सान का 2021 में 92% बैंकों ने लौटाया था, और 2024 में सिर्फ़ 48%। 2025 में लगभग 5,900 शिकारों ने मिलाकर क़रीब €26 मिलियन गँवाए।

15 अक्टूबर 2026 को यूरोपीय संघ का न्यायालय इसी हिसाब-किताब में उतरा। उसके सामने आए मामले में तरकीब अलग थी, लेकिन झगड़ा वही था: बैंक ने ग्राहक की लापरवाही का हवाला देकर पैसा लौटाने से मना कर दिया था। मामला C-70/25 पोलैंड से शुरू हुआ। एक महिला ऑनलाइन मार्केटप्लेस पर कुछ बेच रही थी; एक “ख़रीदार” ने उसे बिक्री की पुष्टि के नाम पर एक लिंक भेजा, और उसने एक नक़ली पेज पर अपनी ऑनलाइन बैंकिंग का लॉगिन डाल दिया। उसके खाते से लगभग €700 निकल गए। उसने अगले ही दिन शिकायत की, लेकिन बैंक ने पैसा नहीं लौटाया: उसकी नज़र में ग़लती महिला की ख़ुद की थी।

न्यायालय ने फ़ैसला दिया कि ऐसा नहीं किया जा सकता, और घटनाओं का क्रम ही उलट दिया।

न्यायालय का तर्क सीधा था: अगर बैंक शुरू में ही मना कर सकते, तो तुरंत पैसा लौटाने का दायित्व बेमानी हो जाता। ग्राहकों को ख़ुद अदालत जाना पड़ता, सारे ख़र्च और झंझट के साथ। यह फ़ैसला पूरे यूरोपीय संघ की अदालतों पर लागू होता है, हालाँकि पोलैंड वाला विवाद ख़ुद एक पोलिश अदालत ही निपटाएगी। यह उन लेन-देन पर लागू होता है जिनकी अनुमति ग्राहक ने नहीं दी, जैसे कोई अजनबी एटीएम से नकदी निकाल ले। अगर शिकार ठग के कहने पर ख़ुद पैसा किसी “सुरक्षित खाते” में भेज देता है, तो आम तौर पर इसे अनुमति वाला भुगतान माना जाता है, और तुरंत रिफ़ंड अपने-आप नहीं मिलता।

अगर पैसा जा चुका है, तो फ़ैसले से एक सीधा क्रम निकलता है। बिना अनुमति हुए लेन-देन की सूचना तुरंत अपने बैंक को दीजिए, क्योंकि न्यायालय ने तुरंत सूचना को रिफ़ंड की शर्त बनाया है। यूरोपीय संघ में इसके बाद बैंक को अगले कार्य-दिवस के अंत तक आपका पैसा लौटाना होगा और आपकी लापरवाही पर बहस वह बाद में कर सकता है; हवाला देने लायक़ फ़ैसला मामला C-70/25 का है।

डच मीडिया की ख़बरों के मुताबिक़ NVB का कहना है कि फ़ैसला यह बदलता है कि रिफ़ंड कब होगा, यह नहीं कि आख़िर में नुक़सान कौन उठाएगा। यह बात आंशिक रूप से सही है। लेकिन समय मायने रखता है। महीनों इंतज़ार करना और अपने ही पैसे के लिए मुक़दमा लड़ना एक बात है; अगले दिन पैसा वापस पाना और यह देखना कि बैंक आपकी ग़लती साबित करने की ज़हमत उठाता भी है या नहीं, बिल्कुल दूसरी।

लापरवाही किसे कहें

अगली लड़ाई यहीं होगी। “बैंक” के कहने पर कार्ड को फ़ोन से सटाना पीछे मुड़कर देखने पर भोलापन लगता है, लेकिन दो-एक साल पहले तक लगभग किसी ने इस तरकीब के बारे में सुना भी नहीं था। 2026 के वसंत में नीदरलैंड्स की वित्तीय शिकायत संस्था Kifid ने बैंकों से आग्रह किया कि वे ग्राहकों को ज़्यादा बार संदेह का लाभ दें, क्योंकि अपराधी अपने शिकारों को फँसाने में बहुत माहिर हैं।

एटीएम वाली योजना के मामले में पहला क़दम अब साफ़ है, दूसरा नहीं। असली सवाल का जवाब अभी किसी अदालत ने नहीं दिया: क्या ऐसी आवाज़ पर भरोसा करना घोर लापरवाही है, जिसे आपके बैंक जैसा सुनाई देने के लिए गढ़ा गया था, और जो ऐसी माँग कर रही थी जिसे डच पुलिस ने इस रूप में पहले कभी नहीं देखा था?