Kartu tetap di tangan, tapi uangnya keluar dari ATM di kota lain

Telepon dibuka dengan rekaman. Suara yang tenang melaporkan aktivitas mencurigakan di rekening Anda dan meminta Anda menekan 1 jika transaksi itu bukan Anda yang melakukannya. Lalu seorang “petugas bank” yang sopan mengambil alih. Kartu Anda harus segera diblokir, katanya, jadi silakan pasang aplikasi ini dan tempelkan kartu ke bagian belakang ponsel. Anda menurut. Pada detik yang sama, di kota lain, seorang pemuda menempelkan ponselnya sendiri ke ATM dan menarik uang tunai dari kartu Anda, yang masih tergenggam di tangan Anda.

Begitulah skenario yang, menurut polisi Belanda, dijalankan satu kelompok sampai tim kejahatan siber Rotterdam membongkarnya pada Oktober 2026. Dalam tiga minggu pengamatan, penyidik menghitung sekitar 170 korban dan kerugian €380.000, dan korbannya bukan hanya pensiunan: puluhan di antaranya berusia dua puluhan dan tiga puluhan. Triknya sendiri sudah berumur setidaknya dua tahun. Yang baru adalah suara buatan AI, beserta pertanyaan yang ikut terseret: siapa yang wajib mengganti uang orang yang menempelkan kartunya sendiri ke ponselnya sendiri?

Kartu yang direntangkan lewat internet

Pembayaran nirsentuh berjalan di atas NFC, sambungan radio yang hanya bekerja dalam jarak beberapa sentimeter. Terminal atau ATM mengirim tantangan ke kartu, chip menjawab, dan jawaban itu memberi tahu bank bahwa kartunya asli. Semuanya bertumpu pada fisika sederhana: kalau chip menjawab, berarti kartunya ada tepat di situ.

Aplikasi penipu itu mengakali fisika tersebut. Ia membaca jawaban chip lewat antena NFC di ponsel korban dan meneruskannya, melalui server, ke ponsel kedua di tangan kaki tangan. Kaki tangan itu menempelkan ponselnya ke ATM, dan mesin “melihat” kartu yang sebenarnya berada di ujung lain negeri. Kartunya tidak disalin, melainkan diperpanjang: kabel tak kasatmata sepanjang puluhan kilometer membentang antara chip dan mesin uang.

Polisi Belanda menggambarkan serah-terimanya. Selagi korban menempelkan kartu ke ponsel, seorang “pinner” dengan aplikasi yang sama sudah menunggu di ATM atau terminal pembayaran. (Kata kerja Belanda pinnen berarti menarik uang tunai, maka begitulah julukan untuk kaki tangan yang mengambil uangnya.) Ribuan euro keluar, dan para korban tidak menyadarinya. Pernyataan polisi tidak menjelaskan bagaimana kelompok itu mendapatkan PIN. Seorang juru bicara polisi mengatakan kepada stasiun RTL Nieuws bahwa kadang PIN bahkan tidak diperlukan, tanpa menyebut transaksi mana yang ia maksud. Dalam skema serupa di Ceko, korban mengetikkan PIN langsung ke aplikasi. Karena itulah polisi terus mengulang tiga hal yang tidak akan pernah diminta bank Anda: mengunduh aplikasi, menempelkan kartu ke ponsel, atau menyebutkan PIN.

Lahir di laboratorium kampus

Serangan ini punya silsilah akademis. Mahasiswa di Secure Mobile Networking Lab, Universitas Teknik Darmstadt di Jerman, membuat NFCGate, aplikasi Android sumber terbuka yang menangkap, merekam, dan meneruskan sinyal NFC antara dua perangkat. Tugasnya membantu peneliti menguji ketahanan protokol nirsentuh. Halaman proyeknya terang-terangan meminta orang untuk tidak memakainya demi tujuan jahat.

Tidak semua orang mendengarkan. Pada Agustus 2024, peneliti perusahaan keamanan ESET menguraikan NGate, malware pertama yang diketahui dibangun di atas NFCGate. Nasabah tiga bank Ceko menerima SMS soal pengembalian pajak; korban lalu memasang aplikasi bank palsu, memasukkan PIN, dan menempelkan kartu ke ponsel. Pada Maret 2024, polisi Praha menangkap pemuda 22 tahun yang menarik uang tunai dari ATM. Ia membawa 160.000 koruna Ceko (sekitar €6.000), yang menurut polisi berasal dari tiga korban terakhir saja.

Sesudah itu skemanya diproduksi massal. Pada paruh pertama 2025, ESET mencatat lebih dari 35 kali lipat serangan NFC dibanding paruh kedua 2024. Musim semi itu, peneliti di Italia menemukan SuperCard X, trik yang sama dijual sebagai langganan lewat kanal Telegram, lengkap dengan layanan pelanggan. Sementara itu, para pembuat NFCGate kini mencatat di halaman proyek mereka bahwa antivirus terus keliru mengira alat riset mereka sebagai NGate.

Suara yang terdengar seperti bank Anda

Kelompok Rotterdam menambahkan satu bahan baru ke teknik lama itu: suara. Para penipu memakai AI untuk membuat puluhan rekaman dengan suara berbeda-beda, menyamar sebagai berbagai bank dan perusahaan. Yang mereka dapat dari AI adalah skala: satu kelompok kecil bisa terdengar seperti banyak organisasi, masing-masing dengan suaranya sendiri, tanpa menyewa satu pun pengisi suara. Panggilan otomatis dengan menu terdengar seperti pesan layanan biasa, dan menekan 1 tidak terasa berisiko. Setelah itu orang sungguhan mengambil alih, berbicara sesuai naskah yang dirancang untuk menciptakan rasa genting.

“Ini bukan lagi penipu yang mengetuk pintu, melainkan penelepon meyakinkan yang terkesan sangat profesional,” kata Ruben van Well dari tim kejahatan siber Rotterdam. Ia menambahkan bahwa penyidik belum pernah melihat metode teknis seperti ini sebelumnya.

Yang membuat skema ini berbahaya adalah rasanya seperti perlindungan. Kartu tidak pernah lepas dari tangan, jadi Anda merasa sedang menjaga rekening, kata HCC, perkumpulan pengguna komputer di Belanda. Menekan 1, memasang aplikasi, menempelkan kartu: setiap langkah tampak seperti tindakan pengamanan, bukan risiko.

Bank melihat lonjakan pada pertengahan September, dan pada 6 Oktober polisi menangkap dua pria: seorang berusia 23 tahun yang diduga menjadi otak skema, dan seorang berusia 25 tahun yang diduga mengoordinasikannya. Keduanya ditahan; belum ada yang divonis.

Siapa yang mengganti uang Anda

Bagi korban, masalah sebenarnya dimulai setelah telepon ditutup. Bank bisa berkata: Anda memasang aplikasinya dan Anda menempelkan kartunya, jadi itu kelalaian berat. Bank-bank Belanda makin sering mengatakannya. Menurut Asosiasi Perbankan Belanda (NVB), bank mengganti 92% kerugian akibat penipuan berkedok layanan bantuan bank pada 2021 dan hanya 48% pada 2024. Pada 2025, hampir 5.900 korban secara keseluruhan kehilangan hampir €26 juta.

Pada 15 Oktober 2026, Pengadilan Uni Eropa masuk ke hitung-hitungan itu. Trik dalam perkaranya berbeda, tetapi pertarungannya sama: bank menolak, dengan menyalahkan kecerobohan nasabah. Perkara C-70/25 bermula di Polandia. Seorang perempuan menjual barang di marketplace daring; seorang “pembeli” mengiriminya tautan, katanya untuk mengonfirmasi penjualan, dan ia mengetikkan data login internet banking-nya di halaman palsu. Sekitar €700 keluar dari rekeningnya. Ia melapor keesokan harinya, tetapi bank menolak mengganti: menurut bank, ia hanya bisa menyalahkan diri sendiri.

Pengadilan memutuskan bahwa hal itu tidak boleh, dan membalik urutan kejadiannya.

Alasan pengadilan sederhana: kalau bank bisa menolak sejak awal, kewajiban mengembalikan dana dengan segera tidak ada artinya. Nasabah harus maju ke pengadilan sendiri, dengan segala biaya dan kerepotannya. Putusan ini mengikat pengadilan di seluruh UE, meski sengketa di Polandia itu sendiri akan diselesaikan oleh pengadilan Polandia. Putusan berlaku untuk transaksi yang tidak diotorisasi nasabah, misalnya orang asing menarik uang di ATM. Jika korban mengikuti instruksi penipu dan memindahkan uang sendiri ke “rekening aman”, itu biasanya dihitung sebagai pembayaran yang diotorisasi, dan pengembalian segera tidak otomatis berlaku.

Kalau uang sudah telanjur hilang, putusan ini menyiratkan urutan yang sederhana. Laporkan transaksi yang tidak diotorisasi ke bank sesegera mungkin, karena pengadilan menjadikan pelaporan cepat sebagai syarat penggantian. Di UE, bank kemudian wajib mengembalikan uang Anda paling lambat akhir hari kerja berikutnya dan baru boleh memperdebatkan kecerobohan Anda belakangan; putusan perkara C-70/25 adalah yang perlu dikutip.

Sikap NVB, menurut media Belanda, adalah bahwa putusan ini mengubah kapan penggantian terjadi, bukan siapa yang akhirnya menanggung kerugian. Itu ada benarnya. Tetapi waktu itu penting. Menunggu berbulan-bulan dan menggugat demi uang sendiri adalah satu hal; menerimanya kembali keesokan hari lalu melihat apakah bank mau repot membuktikan kesalahan Anda adalah hal yang sama sekali lain.

Apa yang dianggap ceroboh

Di situlah pertarungan berikutnya. Menempelkan kartu ke ponsel karena diminta “bank” terlihat naif kalau dilihat belakangan, tetapi dua tahun lalu hampir tak ada yang pernah mendengar trik ini. Pada musim semi 2026, Kifid, lembaga pengaduan keuangan Belanda, mendesak bank agar lebih sering memberi nasabah keuntungan dari keraguan, karena penjahat begitu lihai memainkan korbannya.

Untuk skema ATM ini, langkah pertama kini sudah jelas, langkah kedua belum. Belum ada pengadilan yang menjawab pertanyaan sebenarnya: apakah termasuk kelalaian berat jika seseorang memercayai suara yang dibuat agar terdengar seperti banknya, yang mengajukan permintaan yang dalam bentuk ini belum pernah dilihat polisi Belanda sebelumnya?