// Indice
La telefonata si apre con un messaggio registrato. Una voce calma segnala movimenti sospetti sul tuo conto e ti chiede di premere 1 se non li hai autorizzati tu. Poi entra in linea un cortese «operatore della banca». La carta va bloccata subito, ti spiega, quindi installa questa app e appoggia la carta sul retro del telefono. Lo fai. Nello stesso istante, in un’altra città, un ragazzo avvicina il proprio telefono a un bancomat e preleva contanti dalla tua carta, che intanto è ancora nella tua mano.
È questo il copione che, secondo la polizia olandese, un gruppo ha seguito finché la squadra cybercrime di Rotterdam non l’ha smantellato a ottobre 2026. Nelle tre settimane in cui l’hanno tenuto d’occhio, gli investigatori hanno contato circa 170 vittime e 380.000 euro di danni, e non si trattava solo di pensionati: decine avevano tra i venti e i trent’anni. Il trucco in sé ha almeno due anni. La novità sono le voci generate dall’IA, e la domanda che si trascinano dietro: chi rimborsa una persona che ha appoggiato la propria carta al proprio telefono?
Una carta allungata via internet
Il pagamento contactless funziona con l’NFC, un collegamento radio che copre pochi centimetri. Il terminale o il bancomat lancia una sfida alla carta, il chip risponde, e quella risposta dice alla banca che la carta è autentica. Tutto si regge su una fisica elementare: se il chip risponde, la carta dev’essere lì.
L’app truffaldina aggira quella fisica. Legge le risposte del chip con l’antenna NFC del telefono della vittima e le inoltra, attraverso un server, a un secondo telefono in mano a un complice. Il complice appoggia quel telefono a un bancomat, e la macchina «vede» una carta che in realtà si trova all’altro capo del Paese. La carta non viene tanto copiata quanto prolungata: tra il chip e lo sportello corre un cavo invisibile lungo decine di chilometri.
La polizia olandese descrive il passaggio di consegne. Mentre la vittima teneva la carta contro il telefono, un «pinner» con la stessa app aspettava già davanti a un bancomat o a un terminale di pagamento. (In olandese il verbo pinnen vuol dire prelevare contanti, da cui il nome del complice che li ritira.) Sono usciti migliaia di euro, e le vittime non se ne sono accorte. Il comunicato della polizia non spiega come il gruppo ottenesse i PIN. Un portavoce della polizia ha detto all’emittente RTL Nieuws che a volte il PIN non serve nemmeno, senza precisare a quali operazioni si riferisse. In uno schema simile in Repubblica Ceca, le vittime lo digitavano direttamente nell’app. Per questo la polizia continua a ripetere le tre cose che la tua banca non ti chiederà mai: scaricare un’app, appoggiare la carta al telefono, comunicare il PIN.
Nata in un laboratorio universitario
L’attacco ha un albero genealogico accademico. Alcuni studenti del Secure Mobile Networking Lab dell’Università tecnica di Darmstadt, in Germania, hanno creato NFCGate, un’app Android open source che cattura, registra e inoltra segnali NFC tra due dispositivi. Serve ai ricercatori per mettere sotto stress i protocolli contactless. La pagina del progetto chiede, nero su bianco, di non usarla per scopi malevoli.
Non tutti hanno ascoltato. Ad agosto 2024 i ricercatori della società di sicurezza ESET hanno descritto NGate, il primo malware noto costruito su NFCGate. I clienti di tre banche ceche ricevevano SMS su un rimborso fiscale; le vittime installavano poi una finta app bancaria, inserivano il PIN e appoggiavano la carta al telefono. A marzo 2024 la polizia di Praga ha arrestato un ventiduenne che prelevava contanti dai bancomat. Aveva con sé 160.000 corone ceche (circa 6.000 euro), che secondo la polizia venivano soltanto dalle ultime tre vittime.
Da lì lo schema è passato alla produzione in serie. Nella prima metà del 2025 ESET ha registrato oltre 35 volte più attacchi NFC che nella seconda metà del 2024. Quella primavera alcuni ricercatori in Italia hanno scovato SuperCard X, lo stesso trucco venduto in abbonamento sui canali Telegram, assistenza clienti compresa. Gli autori di NFCGate, intanto, ora avvertono sulla pagina del progetto che gli antivirus continuano a scambiare il loro strumento di ricerca per NGate.
Una voce che sembra la tua banca
Il gruppo di Rotterdam ha aggiunto alla vecchia tecnica un solo ingrediente nuovo: la voce. I truffatori hanno usato l’IA per produrre decine di registrazioni con voci diverse, fingendosi varie banche e aziende. Quello che l’IA ha regalato loro è la scala: un piccolo gruppo poteva sembrare tante organizzazioni diverse, ognuna con la sua voce, senza ingaggiare un solo doppiatore. Una chiamata automatica con un menu suona come un normale avviso di servizio, e premere 1 non sembra rischioso. Poi subentrava una persona in carne e ossa, con un copione studiato per mettere fretta.
«Non è più il truffatore alla porta, ma un interlocutore convincente che appare estremamente professionale», ha detto Ruben van Well della squadra cybercrime di Rotterdam. Ha aggiunto che gli investigatori non avevano mai visto prima questo metodo tecnico.
A rendere pericoloso lo schema è il fatto che sembra una protezione. La carta non lascia mai le tue mani, quindi pensi di mettere al sicuro il conto, osserva HCC, un club olandese di utenti di computer. Premere 1, installare l’app, avvicinare la carta: ogni passo sembra una misura di sicurezza, non un rischio.
Le banche hanno notato un’impennata a metà settembre, e il 6 ottobre la polizia ha arrestato due uomini: un ventitreenne sospettato di aver ideato lo schema e un venticinquenne sospettato di averlo coordinato. Entrambi sono in custodia; nessuno dei due è stato condannato.
Chi ti rimborsa
Per le vittime i guai veri cominciano dopo la telefonata. La banca può dire: hai installato l’app e hai avvicinato la carta, quindi è colpa grave. Le banche olandesi lo dicono sempre più spesso. Secondo l’associazione bancaria olandese (NVB), nel 2021 le banche hanno rimborsato il 92% delle perdite dovute alle truffe dei finti operatori bancari, nel 2024 appena il 48%. Nel 2025 quasi 5.900 vittime hanno perso in tutto quasi 26 milioni di euro.
Il 15 ottobre 2026 la Corte di giustizia dell’Unione europea è entrata in questi conti. Il trucco del suo caso era diverso, ma la battaglia era la stessa: la banca si era rifiutata di pagare, dando la colpa alla disattenzione della cliente. La causa C-70/25 è nata in Polonia. Una donna vendeva qualcosa su un marketplace online; un «acquirente» le ha mandato un link, in teoria per confermare la vendita, e lei ha inserito le credenziali dell’home banking in una pagina falsa. Dal conto sono spariti circa 700 euro. Lei l’ha segnalato il giorno dopo, ma la banca non l’ha rimborsata: a suo dire, poteva prendersela solo con sé stessa.
La Corte ha stabilito che non si può fare, e ha invertito l’ordine delle cose.
// Che cosa cambia la sentenza della Corte UE
Come rispondevano le banche
- Sei stato gravemente negligente, quindi niente rimborso.
- Se non sei d’accordo, facci causa tu.
Come funziona adesso
- Se il cliente non ha autorizzato l’operazione e l’ha segnalata tempestivamente, la banca la rimborsa entro la fine della giornata lavorativa successiva.
- In seguito la banca può chiedere indietro il denaro, ma deve dimostrare lei il dolo o la colpa grave.
- Un rifiuto immediato è ammesso solo se la banca sospetta una frode del cliente e la denuncia alle autorità.
Il ragionamento della Corte è lineare: se le banche potessero rifiutare fin dall’inizio, l’obbligo di rimborso immediato non avrebbe senso. I clienti dovrebbero rivolgersi da soli al giudice, con tutti i costi e i fastidi del caso. La sentenza vincola i giudici di tutta l’UE, anche se la controversia polacca sarà decisa da un tribunale polacco. Vale per le operazioni che il cliente non ha autorizzato, come uno sconosciuto che preleva al bancomat. Se la vittima segue le istruzioni del truffatore e sposta lei stessa il denaro su un «conto sicuro», di solito si tratta di un pagamento autorizzato, e il rimborso immediato non è automatico.
Se i soldi sono già spariti, la sentenza suggerisce una sequenza semplice. Segnala subito l’operazione non autorizzata alla tua banca, perché la Corte fa della segnalazione tempestiva una condizione del rimborso. Nell’UE la banca deve poi restituirti il denaro entro la fine della giornata lavorativa successiva e può discutere della tua disattenzione in un secondo momento; la sentenza da citare è quella della causa C-70/25.
La posizione della NVB, riferiscono i media olandesi, è che la sentenza cambia il momento del rimborso, non chi alla fine sopporta la perdita. In parte è vero. Ma i tempi contano. Aspettare mesi e fare causa per riavere i propri soldi è una cosa; riaverli il giorno dopo e stare a vedere se la banca si prende la briga di dimostrare la tua colpa è tutta un’altra storia.
Che cosa è negligenza
È lì che si combatterà la prossima battaglia. Appoggiare la carta al telefono perché te l’ha chiesto «la banca» sembra ingenuo col senno di poi, ma un paio di anni fa quasi nessuno aveva sentito parlare di questo trucco. Nella primavera del 2026 il Kifid, l’organismo olandese per i reclami finanziari, ha esortato le banche a concedere più spesso ai clienti il beneficio del dubbio, perché i criminali sono abilissimi nel manipolare le vittime.
Per lo schema del bancomat il primo passo ora è chiaro, il secondo no. Nessun tribunale ha ancora risposto alla vera domanda: è colpa grave fidarsi di una voce generata per sembrare quella della tua banca, che fa una richiesta che la polizia olandese non aveva mai visto prima in questa forma?
