// Tartalom
A hívás egy felvétellel indul. Nyugodt hang közli, hogy gyanús tevékenységet észleltek a számláján, és ha nem ön kezdeményezte, nyomja meg az 1-est. Ezután egy udvarias „banki munkatárs” jelentkezik. Azt mondja, a kártyát azonnal le kell tiltani, ezért telepítse ezt az alkalmazást, és tartsa a kártyát a telefonja hátához. Ön megteszi. Ugyanebben a pillanatban egy másik városban egy fiatalember a saját telefonját egy bankautomatához érinti, és pénzt vesz fel az ön kártyájáról, amely közben ott van az ön kezében.
A holland rendőrség szerint egy csoport így dolgozott, amíg 2026 októberében a rotterdami kiberbűnözési egység fel nem számolta. Abban a három hétben, amíg a nyomozók figyelték, nagyjából 170 áldozatot és 380 000 euró kárt számoltak össze, és a károsultak nem csak nyugdíjasok voltak: tucatnyian a húszas-harmincas éveikben jártak. Maga a trükk legalább kétéves. Az újdonság a mesterséges intelligenciával generált hangokban van, és abban a kérdésben, amelyet magukkal hoznak: ki fizeti vissza a pénzt annak, aki a saját kártyáját a saját telefonjához tartotta?
Kártya, amelyet kifeszítettek az interneten át
Az érintés nélküli fizetés az NFC-re épül, egy néhány centiméteren működő rádiós kapcsolatra. A terminál vagy az automata kérdést küld a kártyának, a chip válaszol, és ebből a válaszból tudja a bank, hogy a kártya valódi. Az egész egy egyszerű fizikai tényen nyugszik: ha a chip válaszol, a kártyának ott kell lennie.
A csalóalkalmazás ezt a fizikát játssza ki. Az áldozat telefonjának NFC-antennáján keresztül kiolvassa a chip válaszait, és egy szerveren át továbbítja őket egy második telefonra, amely a bűntárs kezében van. A bűntárs ezt a telefont érinti az automatához, a gép pedig olyan kártyát „lát”, amely valójában az ország másik végén van. A kártyát nem annyira lemásolják, mint inkább meghosszabbítják: a chip és a pénzkiadó automata között láthatatlan, több tucat kilométeres kábel feszül.
A holland rendőrség leírja az átadást. Amíg az áldozat a telefonjához szorította a kártyát, egy „pinner” ugyanazzal az alkalmazással már egy automatánál vagy fizetőterminálnál várakozott. (A holland pinnen ige pénzfelvételt jelent, innen a pénzt begyűjtő bűntárs neve.) Ezreket vettek fel, és az áldozatok semmit sem vettek észre. A rendőrségi közlemény nem árulja el, hogyan jutott hozzá a csoport a PIN-kódokhoz. A rendőrség szóvivője az RTL Nieuws csatornának azt mondta, hogy néha PIN-kódra sincs szükség, de azt nem részletezte, mely tranzakciókra gondol. Egy hasonló cseh csalásban az áldozatok egyenesen az alkalmazásba írták be. Ezért ismétli a rendőrség újra és újra azt a három dolgot, amit a bankja soha nem fog kérni: töltsön le egy alkalmazást, tartsa a kártyáját a telefonjához, vagy adja meg a PIN-kódját.
Egyetemi laborban született
A támadásnak tudományos családfája van. A németországi Darmstadti Műszaki Egyetem Secure Mobile Networking Lab nevű laborjának hallgatói készítették el az NFCGate-et, egy nyílt forráskódú androidos alkalmazást, amely két eszköz között elfogja, rögzíti és továbbítja az NFC-jeleket. A feladata az, hogy segítsen a kutatóknak próbára tenni az érintés nélküli protokollokat. A projekt oldala kerek perec arra kéri a felhasználókat, hogy ne használják rosszindulatú célokra.
Nem mindenki hallgatott a szóra. 2024 augusztusában az ESET biztonsági cég kutatói leírták az NGate-et, az első ismert, NFCGate-re épülő kártevőt. Három cseh bank ügyfelei adó-visszatérítésről szóló SMS-t kaptak; az áldozatok ezután telepítettek egy hamis banki alkalmazást, megadták a PIN-kódjukat, és a telefonjukhoz tartották a kártyájukat. 2024 márciusában a prágai rendőrség letartóztatott egy 22 éves férfit, aki automatákból vett fel készpénzt. 160 000 cseh korona (körülbelül 6000 euró) volt nála, amely a rendőrség szerint csupán az utolsó három áldozattól származott.
Ezután a módszer tömeggyártásba került. 2025 első felében az ESET több mint 35-ször annyi NFC-támadást regisztrált, mint 2024 második felében. Azon a tavaszon olasz kutatók rábukkantak a SuperCard X-re: ugyanezt a trükköt árulták előfizetéses alapon Telegram-csatornákon, ügyfélszolgálattal együtt. Az NFCGate szerzői közben megjegyzik a projekt oldalán, hogy a víruskeresők rendszeresen összetévesztik kutatási eszközüket az NGate-tel.
Egy hang, amely úgy szól, mint a bankja
A rotterdami csoport egyetlen új összetevővel egészítette ki a régi technikát: a hanggal. A csalók mesterséges intelligenciával tucatnyi felvételt készítettek különböző hangokon, és különféle bankoknak és cégeknek adták ki magukat. Az MI a méretgazdaságosságot hozta el nekik: egy kis csoport is úgy szólhatott, mint sok különböző szervezet, mindegyik a saját hangján, anélkül hogy egyetlen szinkronszínészt is felbéreltek volna. Egy menüs, automatikus hívás hétköznapi szolgáltatói üzenetnek hangzik, és az 1-es gomb megnyomása nem tűnik kockázatosnak. Ezután egy élő ember vette át a beszélgetést, olyan forgatókönyv alapján, amelyet a sürgetés érzésének keltésére írtak.
„Már nem egy szélhámos áll az ajtóban, hanem egy meggyőző telefonáló, aki rendkívül profinak tűnik” – mondta Ruben van Well, a rotterdami kiberbűnözési egység munkatársa. Hozzátette, hogy a nyomozók ezzel a technikai módszerrel korábban még nem találkoztak.
A csalást az teszi veszélyessé, hogy védelemnek érződik. A kártya ki sem kerül a kezéből, így azt hiszi, hogy a számláját védi – jegyzi meg a HCC, egy holland számítógép-felhasználói klub. Az 1-es megnyomása, az alkalmazás telepítése, a kártya odatartása: minden lépés biztonsági intézkedésnek látszik, nem kockázatnak.
A bankok szeptember közepén észlelték a megugrást, október 6-án pedig a rendőrség letartóztatott két férfit: egy 23 évest, akit a csalás kitervelésével, és egy 25 évest, akit a koordinálásával gyanúsítanak. Mindketten őrizetben vannak, egyiküket sem ítélték el.
Ki fizeti vissza a pénzt
Az áldozatok igazi gondjai a hívás után kezdődnek. A bank mondhatja: ön telepítette az alkalmazást, és ön tartotta oda a kártyát, ez súlyos gondatlanság. A holland bankok egyre gyakrabban mondják ezt. A Holland Bankszövetség (NVB) adatai szerint a bankok 2021-ben a hamis banki ügyfélszolgálatos csalások kárainak 92%-át térítették meg, 2024-ben már csak 48%-át. 2025-ben csaknem 5900 áldozat összesen közel 26 millió eurót veszített.
- október 15-én az Európai Unió Bírósága beleszólt ebbe a számításba. Az ügyében szereplő trükk más volt, de a vita ugyanaz: a bank megtagadta a visszatérítést, és az ügyfél figyelmetlenségét okolta. A C-70/25. sz. ügy Lengyelországban kezdődött. Egy nő eladott valamit egy online piactéren; egy „vevő” küldött neki egy linket, állítólag az eladás megerősítésére, ő pedig egy hamis oldalon megadta a netbankos belépési adatait. Körülbelül 700 euró tűnt el a számlájáról. Másnap bejelentette, de a bank nem fizette vissza a pénzt: szerinte csak magát okolhatta.
A Bíróság kimondta, hogy ez nem megengedett, és megfordította a sorrendet.
// Mit változtat az uniós bíróság ítélete
Ahogy a bankok válaszoltak
- Ön súlyosan gondatlan volt, ezért nincs visszatérítés.
- Ha nem ért egyet, perelje be a bankot saját maga.
Ahogy most működik
- Ha az ügyfél nem hagyta jóvá a tranzakciót, és haladéktalanul bejelentette, a bank a következő munkanap végéig visszatéríti.
- Később a bank visszakövetelheti a pénzt, de neki magának kell bizonyítania a szándékosságot vagy a súlyos gondatlanságot.
- Azonnali elutasítás csak akkor megengedett, ha a bank csalással gyanúsítja az ügyfelet, és ezt jelenti a hatóságoknak.
A Bíróság érvelése egyszerű volt: ha a bankok eleve megtagadhatnák a visszatérítést, az azonnali visszatérítés kötelezettsége értelmét veszítené. Az ügyfeleknek maguknak kellene bírósághoz fordulniuk, minden költségével és bosszúságával együtt. Az ítélet az EU összes bíróságára nézve kötelező, bár magát a lengyel jogvitát lengyel bíróság dönti el. Olyan tranzakciókra vonatkozik, amelyeket az ügyfél nem hagyott jóvá, például amikor egy idegen pénzt vesz fel egy automatából. Ha az áldozat a csaló utasításait követve maga utal pénzt egy „biztonságos számlára”, az általában jóváhagyott fizetésnek számít, és az azonnali visszatérítés nem automatikus.
Ha a pénz már eltűnt, az ítéletből egyszerű sorrend következik. Azonnal jelentse a jóvá nem hagyott tranzakciót a bankjának, mert a Bíróság a haladéktalan bejelentést a visszatérítés feltételévé teszi. Az EU-ban a banknak ezután a következő munkanap végéig vissza kell fizetnie a pénzt, a gondatlanságáról pedig később vitatkozhat; a C-70/25. sz. ügyben hozott ítéletre érdemes hivatkozni.
A holland sajtó beszámolója szerint az NVB álláspontja az, hogy az ítélet azt változtatja meg, mikor jár a visszatérítés, nem azt, hogy végső soron ki viseli a kárt. Ez részben igaz. Csakhogy az időzítés számít. Egy dolog hónapokig várni és perelni a saját pénzünkért; egészen más másnap visszakapni, és figyelni, hogy a bank veszi-e egyáltalán a fáradságot, hogy bizonyítsa a hibánkat.
Mi számít gondatlanságnak
Itt lesz a következő csata. Ha valaki a telefonjához tartja a kártyáját, mert „a bank” kérte, az utólag naivnak tűnik, de pár éve szinte senki sem hallott erről a trükkről. 2026 tavaszán a Kifid, a holland pénzügyi panasztestület arra kérte a bankokat, hogy gyakrabban döntsenek kétség esetén az ügyfél javára, mert a bűnözők rendkívül ügyesen manipulálják áldozataikat.
Az automatás csalásnál az első lépés most már világos, a második nem. Az igazi kérdésre még egyetlen bíróság sem válaszolt: súlyos gondatlanság-e megbízni egy olyan hangban, amelyet arra generáltak, hogy úgy szóljon, mint a bankja, és amely olyasmit kér, amit a holland rendőrség ebben a formában korábban sosem látott?
