カードは手の中、現金は遠くのATMから消えた

電話は録音音声で始まる。落ち着いた声が、あなたの口座で不審な取引があったと告げ、心当たりがなければ1を押すよう促す。続いて、丁寧な「銀行の担当者」が電話口に出る。カードをすぐに止める必要がある、ついてはこのアプリを入れて、カードをスマートフォンの背面に当ててほしい、と言う。言われたとおりにする。まさにその瞬間、別の街で一人の若い男が自分のスマホをATMにかざし、あなたのカードから現金を引き出している。カードはいまも、あなたの手の中にあるというのに。

これが、ある詐欺グループの手口だとオランダ警察は説明する。グループは2026年10月、ロッテルダムのサイバー犯罪対策チームによって摘発された。捜査員が監視していた3週間だけで、被害者は約170人、被害額は38万ユーロにのぼる。狙われたのは高齢者ばかりではなく、20代と30代も数十人いた。手口そのものは少なくとも2年前からある。新しいのはAIで作った声と、それが連れてくる問いだ。自分のカードを自分のスマホに当てた人のお金は、誰が返すのか。

ネット越しに「延長」されるカード

非接触決済の土台はNFC、わずか数センチの距離で働く無線通信だ。端末やATMがカードに問いかけを送り、チップが応答する。その応答によって、銀行はカードが本物だと知る。すべては単純な物理に支えられている。チップが応答するなら、カードはすぐそこにあるはずだ、と。

詐欺アプリはこの物理をごまかす。被害者のスマホのNFCアンテナでチップの応答を読み取り、サーバー経由で共犯者の手にある2台目のスマホへ送る。共犯者がそのスマホをATMにかざすと、機械は国の反対側にあるはずのカードを「見る」。カードはコピーされるというより、引き延ばされるのだ。チップと現金自動預け払い機のあいだに、何十キロもの見えないケーブルが張られる。

オランダ警察は受け渡しの様子をこう説明する。被害者がカードをスマホに当てているあいだ、同じアプリを入れた「ピンナー」がATMか決済端末の前ですでに待機していた（オランダ語の動詞 pinnen は現金を引き出すことを意味し、そこから現金を回収する共犯者がこう呼ばれる）。数千ユーロが引き出されても、被害者は気づかなかった。グループがどうやって暗証番号を手に入れたのか、警察の発表には書かれていない。警察の広報担当者は放送局RTL Nieuwsに対し、暗証番号が要らない場合もあると語ったが、どの取引を指すのかは明かしていない。チェコで起きた似た手口では、被害者が暗証番号をアプリに直接打ち込んでいた。だからこそ警察は、銀行が決して頼まない三つのことを繰り返し伝えている。アプリのダウンロード、カードをスマホに当てること、暗証番号を教えることだ。

生まれは大学の研究室

この攻撃には学術的な家系図がある。ドイツのダルムシュタット工科大学にあるSecure Mobile Networking Labの学生たちが、NFCGateを開発した。2台の端末のあいだでNFC信号を捕捉し、記録し、中継するオープンソースのAndroidアプリだ。目的は、研究者が非接触通信のプロトコルを徹底的に試せるようにすること。プロジェクトのページには、悪用しないでほしいとはっきり書かれている。

だが、誰もが耳を貸したわけではない。2024年8月、セキュリティ企業ESETの研究者が、NFCGateをもとにした初のマルウェアとして知られるNGateを報告した。チェコの銀行3行の顧客に税金還付を装ったSMSが届き、被害者は偽の銀行アプリを入れ、暗証番号を入力し、カードをスマホに当てた。2024年3月にはプラハの警察が、ATMで現金を引き出していた22歳の男を逮捕している。男は16万チェココルナ（約6000ユーロ）を所持しており、警察によれば、それは直近の被害者3人分だけのものだった。

その後、手口は量産体制に入った。ESETが2025年上半期に記録したNFC攻撃は、2024年下半期の35倍を超えた。同じ年の春、イタリアの研究者がSuperCard Xを見つけた。同じ仕掛けをTelegramのチャンネルでサブスクリプションとして売るもので、カスタマーサポートまで付いていた。一方、NFCGateの開発者たちはいまやプロジェクトのページで、ウイルス対策ソフトが自分たちの研究ツールをNGateと取り違え続けている、と注記している。

銀行そっくりの声

ロッテルダムのグループは、古い技術に新しい材料をひとつ加えた。声だ。詐欺師たちはAIを使って、さまざまな声の録音を何十本も作り、複数の銀行や企業になりすました。AIがもたらしたのは規模だった。小さなグループひとつで、それぞれ別の声を持つ多くの組織を演じ分けられる。声優はひとりも雇わずに済む。メニュー付きの自動音声は普通のサービス案内のように聞こえ、1を押すことに危うさは感じない。そこから先は生身の人間が引き継ぎ、焦りを煽るよう組み立てられた台本どおりに話を進めた。

「もはや玄関先に現れる詐欺師ではなく、極めてプロフェッショナルに見える、説得力のある電話の相手なのです」と、ロッテルダムのサイバー犯罪対策チームのルーベン・ファン・ウェルは語る。この技術的な手法は捜査員にとっても初めて見るものだったという。

この手口が危険なのは、守られているように感じさせる点にある。カードは一度も手を離れないので、自分は口座を守っているのだと思い込んでしまう。オランダのパソコンユーザー団体HCCはそう指摘する。1を押す、アプリを入れる、カードをかざす。どの手順もリスクではなく、安全対策に見える。

銀行は9月半ばに被害の急増に気づき、10月6日に警察が男2人を逮捕した。手口の首謀者とみられる23歳と、その調整役とみられる25歳だ。2人とも勾留中で、どちらも有罪判決は受けていない。

返金するのは誰か

被害者にとって本当の苦労は、電話を切ったあとに始まる。銀行はこう言える。アプリを入れたのもカードをかざしたのもあなただ、それは重大な過失だ、と。オランダの銀行はそう言うことが増えている。オランダ銀行協会（NVB）によれば、偽の銀行ヘルプデスク詐欺による損失の補償率は2021年に92%だったが、2024年にはわずか48%だった。2025年には6000人近い被害者が、合わせて約2600万ユーロを失っている。

2026年10月15日、EU司法裁判所がこの計算に割って入った。同裁判所が扱った事件の手口は別物だったが、争点は同じだった。銀行が顧客の不注意を理由に返金を拒んだのだ。事件番号C-70/25はポーランドで始まった。オンラインのマーケットプレイスで物を売っていた女性に「買い手」がリンクを送り、取引を確認するためだと言った。女性は偽のページにネットバンキングのログイン情報を入力し、口座から約700ユーロが消えた。翌日には届け出たものの、銀行は返金に応じなかった。銀行に言わせれば、悪いのは彼女自身だった。

裁判所はそれは許されないと判断し、手続きの順序をひっくり返した。

裁判所の論理は明快だ。銀行が最初から拒否できるなら、ただちに返金する義務は意味をなさない。顧客は費用と手間をかけて、自分で裁判を起こさなければならなくなる。この判断はEU全域の裁判所を拘束するが、ポーランドの争いそのものはポーランドの裁判所が決着をつける。対象は、見知らぬ誰かがATMで現金を引き出すような、顧客が承認していない取引だ。被害者が詐欺師の指示に従って自分で「安全な口座」に送金した場合、それはたいてい承認済みの支払いとみなされ、即時返金は自動的には受けられない。

すでにお金が消えてしまったなら、判決が示す手順は単純だ。無権限の取引をただちに銀行に届け出ること。速やかな届け出を、裁判所は返金の条件としているからだ。EUではその後、銀行は翌営業日の終わりまでに返金しなければならず、あなたの不注意について争うのはそのあとになる。根拠として示すべきは、事件番号C-70/25の判決だ。

オランダのメディアの報道によれば、NVBの立場は、この判断で変わるのは返金のタイミングであって、最終的に誰が損失を負うかではない、というものだ。半分は正しい。だがタイミングは重要だ。何か月も待って自分のお金のために裁判を起こすのと、翌日には取り戻し、銀行がわざわざあなたの過失を証明しにくるかを見守るのとでは、まったく話が違う。

どこからが「不注意」か

次の争いの舞台はそこになる。「銀行」に頼まれてカードをスマホに当てるのは、あとから見れば無邪気に思える。だが2年ほど前には、この手口を聞いたことのある人はほとんどいなかった。2026年春、オランダの金融苦情処理機関Kifidは、犯罪者が被害者を操る腕前があまりに巧みなのだから、顧客の言い分をもっと疑わしきは罰せずで扱うよう銀行に求めた。

ATMを使ったこの手口について、第一歩はもう明らかになった。だが二歩目はまだだ。本当の問いには、どの裁判所もまだ答えていない。自分の銀行そっくりに聞こえるよう生成された声を信じ、オランダ警察でさえこの形では見たことのなかった頼みに応じるのは、重大な過失なのだろうか。