// Sadržaj
Poziv počinje snimkom. Smiren glas javlja da je na vašem računu zabilježena sumnjiva transakcija i moli vas da pritisnete „1” ako je niste vi obavili. Zatim se javlja uljudan „djelatnik banke”: karticu treba hitno blokirati, a za to morate instalirati aplikaciju i prisloniti karticu na stražnju stranu mobitela. Prislonite je. Iste minute u drugom gradu neki mladić prinosi svoj mobitel bankomatu i podiže gotovinu s vaše kartice. A kartica vam je i dalje u ruci.
Tako je, prema priopćenju nizozemske policije, radila skupina koju je u listopadu 2026. razotkrio odjel za kibernetički kriminal u Rotterdamu. U tri tjedna praćenja istražitelji su izbrojili oko 170 oštećenih i 380 000 € štete, a nisu to bili samo umirovljenici: među žrtvama su deseci ljudi u dvadesetima i tridesetima. Sam trik nije nov, star je najmanje dvije godine. Novi su bili glasovi koje je stvorila neuronska mreža i pitanje koje se uz njih nameće: tko će čovjeku vratiti novac ako je karticu na mobitel prislonio sam?
Kartica produžena preko interneta
Beskontaktno plaćanje počiva na NFC-u: to je radioveza na udaljenosti od nekoliko centimetara. Terminal ili bankomat šalje kartici upit, čip odgovara, a po tom odgovoru banka zna da je kartica prava. Cijela zaštita oslanja se na jednostavnu fiziku: ako je čip odgovorio, kartica je blizu.
Lažna aplikacija tu fiziku nadmudri. Preko NFC modula na mobitelu žrtve čita odgovore čipa i preko poslužitelja ih šalje na drugi mobitel — suučesniku. On prisloni svoj pametni telefon na bankomat, a bankomat „vidi” karticu koja leži na drugom kraju zemlje. Pojednostavljeno, kartica se ne kopira, nego produžuje: između čipa i bankomata razvlači se nevidljiva žica duga desetke kilometara.
Nizozemska policija to opisuje ovako: dok je žrtva držala karticu uz mobitel, „pinner” s istom aplikacijom već je čekao kod bankomata ili platnog terminala. Pinnen na nizozemskom znači „podizati gotovinu”, otud i nadimak za suučesnika koji uzima novac. Odlazile su tisuće eura, a ljudi ništa nisu primjećivali. Kako je skupina doznavala PIN, policija u priopćenju ne navodi. Njezin glasnogovornik rekao je televiziji RTL Nieuws da PIN ponekad nije ni potreban, ali nije pojasnio o kojim je transakcijama riječ. U sličnoj češkoj shemi žrtve su ga upisivale izravno u aplikaciju. Zato policija ponavlja tri stvari koje banka nikad neće tražiti: da preuzmete aplikaciju, da prislonite karticu na mobitel i da kažete PIN.
Igračka iz sveučilišnog laboratorija
Ovaj napad ima akademsko rodoslovlje. Na Tehničkom sveučilištu u Darmstadtu studenti laboratorija za mobilne mreže napisali su za istraživače NFCGate — otvorenu aplikaciju za Android. Ona presreće, snima i prosljeđuje NFC signal između dvaju uređaja kako bi se protokoli beskontaktne komunikacije mogli testirati na otpornost. U opisu projekta autori izričito mole da se ne koristi za zlo.
Molba nije pomogla. U kolovozu 2024. istraživači ESET-a opisali su NGate — prvi poznati zlonamjerni program temeljen na NFCGateu. Klijentima triju čeških banaka stizali su SMS-ovi o povratu poreza. Čovjek bi zatim instalirao lažnu bankovnu aplikaciju, upisao PIN i prislonio karticu na mobitel. U ožujku 2024. policija je u Pragu uhitila 22-godišnjaka koji je podizao novac na bankomatima. Kod njega su pronašli 160 000 kruna (oko 6000 €) — prema policiji, novac samo posljednjih triju žrtava.
Nakon toga shema je krenula u masovnu proizvodnju. U prvoj polovini 2025. ESET je izbrojio više od 35 puta više NFC napada nego u drugoj polovini 2024. U proljeće 2025. u Italiji je otkriven SuperCard X: isti trik, samo na pretplatu. Prodavao se preko Telegram kanala, a „klijenti” su imali i korisničku podršku. Ironija je potpuna: autori NFCGatea sada u opisu projekta upozoravaju da antivirusni programi njihov istraživački alat greškom proglašavaju NGateom.
Glas koji zvuči kao banka
Roterdamska skupina staroj je tehnici dodala nešto novo: glas. Uz pomoć umjetne inteligencije prevaranti su ozvučili desetke snimaka različitim glasovima u ime različitih banaka i tvrtki. Neuronska mreža dala im je razmjer: mala skupina zvučala je kao mnoštvo organizacija, svaka sa svojim glasom, i nije trebalo tražiti nikakve spikere. Automatski poziv s biranjem tipke nalikuje običnoj obavijesti nekog servisa, pa pritisnuti „1” ne djeluje opasno. Zatim bi se na liniji javio živ čovjek: čitao je po scenariju i požurivao.
„To više nije prevarant na vratima, nego uvjerljiv sugovornik koji zvuči vrlo profesionalno”, rekao je Ruben van Well iz roterdamskog odjela za kibernetički kriminal. Kako kaže, takvu tehničku shemu istražitelji dosad nisu susreli.
Podmuklost sheme je u tome što nalikuje zaštiti. U nizozemskom računalnom klubu HCC primjećuju: kartica ne napušta ruku, pa se čovjeku čini da čuva svoj račun. Pritisnuti „1”, instalirati aplikaciju, prisloniti karticu: svaki korak izgleda kao mjera opreza, a ne kao rizik.
Banke su porast primijetile sredinom rujna, a 6. listopada policija je uhitila dvojicu: 23-godišnjeg navodnog organizatora i 25-godišnjeg koordinatora. Obojica su u pritvoru, krivnja im nije dokazana, presude nema.
Tko će vratiti novac
Za oštećenog ono najteže počinje nakon poziva. Banka može reći: sami ste instalirali aplikaciju i sami prislonili karticu, to je krajnja nepažnja. Nizozemske banke sve češće upravo tako i odgovaraju. Prema izračunu Nizozemske udruge banaka (NVB), 2021. banke su žrtvama lažne korisničke podrške nadoknađivale 92 % štete, a 2024. samo 48 %. Oštećenih je 2025. bilo gotovo 5900, a zajedno su izgubili gotovo 26 milijuna €.
Dana 15. listopada 2026. u tu se računicu umiješao Sud Europske unije. Trik u njegovu predmetu bio je drukčiji, ali spor isti: banka je odbila povrat pozivajući se na nepažnju klijentice. Predmet C-70/25 počeo je u Poljskoj. Žena je prodavala nešto na oglasniku, „kupac” joj je poslao poveznicu navodno za potvrdu kupnje, a ona je na lažnoj stranici upisala podatke za internetsko bankarstvo. S računa je nestalo oko 700 €. Sutradan je to prijavila banci, ali novac joj nisu vratili: prema mišljenju banke, sama je kriva.
Sud EU-a odlučio je da to ne smije tako i promijenio redoslijed.
// Što mijenja odluka Suda EU-a
Kako je banka odgovarala
- Klijent je bio krajnje nepažljiv, zato novac ne vraćamo.
- Ako se ne slažete, idite sami na sud.
Kako je sada
- Ako klijent nije odobrio transakciju i brzo ju je prijavio, banka vraća novac najkasnije do kraja sljedećeg radnog dana.
- Banka ga poslije može tražiti natrag, ali sama mora dokazati namjeru ili krajnju nepažnju klijenta.
- Odmah odbiti može samo ako sumnja da je prijevaru počinio sam klijent i o tome je obavijestila nadležna tijela.
Logiku je sud objasnio izravno: ako banka može odmah odbiti povrat, obveza hitnog povrata gubi smisao, a klijent bi morao sam ići na sud, s troškovima i natezanjem. Odluka obvezuje sudove svih zemalja EU-a, ali konkretan poljski spor riješit će poljski sud. Pravilo se odnosi na transakcije koje klijent nije odobrio — na primjer, kad netko drugi podigne gotovinu na bankomatu. Ako je pak čovjek po diktatu prevaranta sam prebacio novac na „siguran račun”, to se u pravilu smatra odobrenim plaćanjem i hitan povrat mu ne pripada automatski.
Ako je novac već otišao, iz odluke proizlazi jednostavan redoslijed. Terećenje koje niste odobrili treba odmah prijaviti banci: brzu prijavu sud navodi kao uvjet povrata. Nakon toga banka u EU-u mora vratiti novac do kraja sljedećeg radnog dana, a nepažnju klijenta može dokazivati tek poslije. Ako se banka protivi, pozovite se na odluku u predmetu C-70/25.
U NVB-u, kako piše nizozemski tisak, smatraju da odluka mijenja rok povrata, a ne to tko će na kraju snositi gubitak. Djelomično je to istina. Ali redoslijed je važan: jedno je mjesecima čekati i sudovati se za vlastiti novac, a drugo dobiti ga sutradan i gledati hoće li se banka usuditi dokazivati krivnju.
Što se smatra nepažnjom
Tu počinje sljedeći spor. Naknadno se čini naivnim prisloniti karticu na mobitel na molbu „banke”, ali prije samo par godina za takav trik gotovo nitko nije čuo. Nizozemski financijski pravobranitelj Kifid u proljeće 2026. pozvao je banke da dvojbe češće tumače u korist klijenta: prevaranti djeluju previše vješto.
Za shemu s bankomatom prvi je korak sada jasan, drugi nije. Sudovi još nisu odgovorili na glavno pitanje. Može li se krajnjom nepažnjom nazvati povjerenje u glas koji je neuronska mreža učinila sličnim vašoj banci i u molbu koju je nizozemska policija u takvom obliku susrela prvi put?
