ბარათი ხელიდან არ გაგიშვიათ, ფული კი შორეულმა ბანკომატმა გასცა

ზარი ჩანაწერით იწყება. მშვიდი ხმა გატყობინებთ, რომ თქვენს ანგარიშზე საეჭვო აქტივობა შეინიშნება, და გთხოვთ, დააჭიროთ 1-ს, თუ ეს ოპერაცია თქვენ არ დაგიდასტურებიათ. შემდეგ ხაზზე თავაზიანი „ბანკის თანამშრომელი“ გამოდის. ბარათი დაუყოვნებლივ უნდა დაიბლოკოს, გეუბნებათ ის, ამიტომ დააინსტალირეთ ეს აპი და ბარათი ტელეფონის უკანა მხარეს მიადეთ. თქვენც ასე იქცევით. ზუსტად ამ დროს, სხვა ქალაქში, ახალგაზრდა კაცი თავის ტელეფონს ბანკომატს მიადებს და თქვენი ბარათიდან ნაღდ ფულს იღებს — ბარათიდან, რომელიც ისევ თქვენს ხელშია.

ასეთი იყო სცენარი, რომლითაც, ნიდერლანდების პოლიციის თქმით, ერთი ჯგუფი მოქმედებდა, სანამ 2026 წლის ოქტომბერში როტერდამის კიბერდანაშაულის განყოფილებამ არ დაშალა. სამი კვირის განმავლობაში, რაც გამომძიებლები მას თვალს ადევნებდნენ, დაახლოებით 170 დაზარალებული და 380 000 ევროს ზარალი დაითვალეს. და ეს მხოლოდ პენსიონერები არ ყოფილან: ათობით მსხვერპლი ოცი-ოცდაათი წლის იყო. თავად ხრიკი სულ მცირე ორი წლისაა. ახალი აქ ხელოვნური ინტელექტით შექმნილი ხმებია და კითხვა, რომელიც მათ თან მოჰყვება: ვინ უნდა დაუბრუნოს ფული ადამიანს, რომელმაც საკუთარი ბარათი საკუთარივე ტელეფონს მიადო?

ინტერნეტით გაჭიმული ბარათი

უკონტაქტო გადახდა NFC-ზე მუშაობს — რადიოკავშირზე, რომელიც რამდენიმე სანტიმეტრზე მოქმედებს. ტერმინალი ან ბანკომატი ბარათს გამოწვევას უგზავნის, ჩიპი პასუხობს, და ეს პასუხი ბანკს ეუბნება, რომ ბარათი ნამდვილია. ყველაფერი მარტივ ფიზიკას ეყრდნობა: თუ ჩიპი პასუხობს, ესე იგი ბარათი სწორედ აქ არის.

თაღლითური აპი ამ ფიზიკას ატყუებს. ის ჩიპის პასუხებს მსხვერპლის ტელეფონის NFC-ანტენით კითხულობს და სერვერის გავლით მეორე ტელეფონს გადასცემს, რომელიც თანამზრახველს უჭირავს ხელში. თანამზრახველი ამ ტელეფონს ბანკომატს მიადებს, და აპარატი „ხედავს“ ბარათს, რომელიც სინამდვილეში ქვეყნის მეორე ბოლოშია. ბარათი კი არ კოპირდება, არამედ თითქოს გრძელდება: ჩიპსა და ბანკომატს შორის ათობით კილომეტრის სიგრძის უხილავი კაბელი იჭიმება.

ნიდერლანდების პოლიცია აღწერს, როგორ ხდებოდა ეს გადაცემა. სანამ მსხვერპლი ბარათს ტელეფონს აჭერდა, იმავე აპით აღჭურვილი „პინერი“ უკვე ბანკომატთან ან გადახდის ტერმინალთან ელოდა. (ნიდერლანდური ზმნა pinnen ნაღდი ფულის გამოტანას ნიშნავს — აქედან მოდის იმ თანამზრახველის სახელიც, რომელიც ფულს იღებს.) ათასობით ევრო გავიდა, დაზარალებულებმა კი ვერაფერი შეამჩნიეს. პოლიციის განცხადებაში არ წერია, როგორ იგებდა ჯგუფი PIN-კოდებს. პოლიციის სპიკერმა მაუწყებელ RTL Nieuws-ს განუცხადა, რომ ზოგჯერ PIN საერთოდ არ არის საჭირო, თუმცა არ დაუზუსტებია, რომელ ოპერაციებს გულისხმობდა. მსგავს ჩეხურ სქემაში მსხვერპლები მას პირდაპირ აპში კრეფდნენ. ამიტომაც იმეორებს პოლიცია განუწყვეტლივ სამ რამეს, რასაც ბანკი არასოდეს გთხოვთ: აპის ჩამოტვირთვას, ბარათის ტელეფონთან მიდებას და PIN-ის თქმას.

უნივერსიტეტის ლაბორატორიაში დაბადებული

ამ შეტევას აკადემიური წარმომავლობა აქვს. გერმანიაში, დარმშტადტის ტექნიკური უნივერსიტეტის Secure Mobile Networking Lab-ის სტუდენტებმა შექმნეს NFCGate — ღია კოდის Android-აპი, რომელიც ორ მოწყობილობას შორის NFC-სიგნალებს იჭერს, იწერს და გადასცემს. მისი დანიშნულებაა, მკვლევრებს უკონტაქტო პროტოკოლების სიმტკიცის შემოწმებაში დაეხმაროს. პროექტის გვერდზე ავტორები პირდაპირ სთხოვენ ხალხს, ის ბოროტი მიზნებისთვის არ გამოიყენონ.

ყველამ არ გაითვალისწინა. 2024 წლის აგვისტოში უსაფრთხოების კომპანია ESET-ის მკვლევრებმა აღწერეს NGate — პირველი ცნობილი მავნე პროგრამა, რომელიც NFCGate-ზეა აგებული. სამი ჩეხური ბანკის კლიენტებს გადასახადის დაბრუნების შესახებ SMS-ები მოსდიოდათ; შემდეგ მსხვერპლები ყალბ საბანკო აპს აყენებდნენ, PIN-ს კრეფდნენ და ბარათს ტელეფონს მიადებდნენ. 2024 წლის მარტში პრაღის პოლიციამ დააკავა 22 წლის ახალგაზრდა, რომელიც ბანკომატებიდან ნაღდ ფულს იღებდა. მას თან 160 000 ჩეხური კრონა (დაახლოებით 6000 ევრო) ჰქონდა, რომელიც, პოლიციის თქმით, მხოლოდ ბოლო სამ მსხვერპლს ეკუთვნოდა.

ამის შემდეგ სქემა მასობრივ წარმოებაზე გადავიდა. 2025 წლის პირველ ნახევარში ESET-მა 35-ჯერ მეტი NFC-შეტევა დააფიქსირა, ვიდრე 2024 წლის მეორე ნახევარში. იმავე გაზაფხულზე იტალიელმა მკვლევრებმა აღმოაჩინეს SuperCard X — იგივე ხრიკი, რომელიც Telegram-არხებში გამოწერით იყიდებოდა, მომხმარებელთა მხარდაჭერით დაწყებული. NFCGate-ის ავტორები კი ახლა პროექტის გვერდზე აღნიშნავენ, რომ ანტივირუსები მათ კვლევით ინსტრუმენტს NGate-ში ხშირად ურევენ.

ხმა, რომელიც თქვენს ბანკს ჰგავს

როტერდამის ჯგუფმა ძველ ტექნიკას ერთი ახალი ინგრედიენტი დაუმატა: ხმა. თაღლითებმა ხელოვნური ინტელექტით სხვადასხვა ხმით ათობით ჩანაწერი შექმნეს, რომლებშიც სხვადასხვა ბანკისა და კომპანიის სახელით ლაპარაკობდნენ. ხელოვნურმა ინტელექტმა მათ მასშტაბი მისცა: ერთ პატარა ჯგუფს შეეძლო ბევრ სხვადასხვა ორგანიზაციად ქცეულიყო, თითოეული საკუთარი ხმით, ისე, რომ ერთი გამხმოვანებელიც არ დაექირავებინა. მენიუიანი ავტომატური ზარი ჩვეულებრივ სერვისულ შეტყობინებას ჰგავს, და 1-ზე დაჭერა საშიშად არ გეჩვენება. შემდეგ ხაზს ცოცხალი ადამიანი იღებდა, რომელიც სკრიპტით მუშაობდა — სკრიპტით, რომელიც სიჩქარის განცდის შესაქმნელად იყო აწყობილი.

„ეს უკვე აღარ არის თაღლითი კართან, არამედ დამაჯერებელი აბონენტი, რომელიც უკიდურესად პროფესიონალურად გამოიყურება“, — თქვა როტერდამის კიბერდანაშაულის განყოფილების თანამშრომელმა რუბენ ვან ველმა. მისი თქმით, ასეთი ტექნიკური მეთოდი გამომძიებლებს აქამდე არასოდეს ენახათ.

სქემას საშიშს ის ხდის, რომ ის დაცვას ჰგავს. ბარათი ხელიდან არ გიშვებთ, ამიტომ გგონიათ, რომ ანგარიშს იცავთ, — აღნიშნავს HCC, კომპიუტერის მომხმარებელთა ნიდერლანდური კლუბი. 1-ზე დაჭერა, აპის დაყენება, ბარათის მიდება — ყოველი ნაბიჯი უსაფრთხოების ზომას ჰგავს და არა რისკს.

ბანკებმა ზრდა სექტემბრის შუა რიცხვებში შეამჩნიეს, 6 ოქტომბერს კი პოლიციამ ორი კაცი დააკავა: 23 წლის ახალგაზრდა, რომელსაც სქემის ორგანიზებაში ედავებიან, და 25 წლის, რომელიც მის კოორდინაციაშია ეჭვმიტანილი. ორივე დაკავებულია; არცერთი მსჯავრდებული არ არის.

ვინ დაგიბრუნებთ ფულს

დაზარალებულისთვის ნამდვილი პრობლემები ზარის შემდეგ იწყება. ბანკს შეუძლია თქვას: აპი თქვენ დააყენეთ, ბარათი თქვენ მიადეთ, ესე იგი ეს უხეში დაუდევრობაა. ნიდერლანდური ბანკები ამას სულ უფრო ხშირად ამბობენ. ნიდერლანდების ბანკების ასოციაციის (NVB) მონაცემებით, ბანკის ყალბი დახმარების სამსახურის სახელით ჩადენილი თაღლითობის ზარალის 92% ბანკებმა 2021 წელს აანაზღაურეს, 2024 წელს კი სულ 48%. 2025 წელს თითქმის 5900 დაზარალებულმა ჯამში თითქმის 26 მილიონი ევრო დაკარგა.

2026 წლის 15 ოქტომბერს ამ არითმეტიკაში ევროკავშირის მართლმსაჯულების სასამართლო ჩაერია. მის საქმეში ხრიკი სხვა იყო, დავა კი — იგივე: ბანკმა უარი თქვა და კლიენტის უყურადღებობა დაასახელა. საქმე C-70/25 პოლონეთში დაიწყო. ქალი ონლაინ-მარკეტპლეისზე რაღაცას ყიდდა; „მყიდველმა“ მას ბმული გაუგზავნა, თითქოს გაყიდვის დასადასტურებლად, და მან ყალბ გვერდზე ინტერნეტ-ბანკის მონაცემები შეიყვანა. ანგარიშიდან დაახლოებით 700 ევრო გავიდა. მეორე დღესვე შეატყობინა, მაგრამ ბანკმა თანხა არ დაუბრუნა: მისი აზრით, ქალს მხოლოდ საკუთარი თავი უნდა დაედანაშაულებინა.

სასამართლომ დაადგინა, რომ ასე არ შეიძლება, და მოვლენების თანმიმდევრობა შეაბრუნა.

სასამართლოს არგუმენტი მარტივი იყო: თუ ბანკებს თავიდანვე უარის თქმა შეეძლებოდათ, დაუყოვნებლივ დაბრუნების ვალდებულებას აზრი დაეკარგებოდა. კლიენტებს თავად მოუწევდათ სასამართლოში წასვლა, მთელი ხარჯითა და თავსატეხით. გადაწყვეტილება მთელი ევროკავშირის სასამართლოებისთვის სავალდებულოა, თუმცა თავად პოლონურ დავას პოლონური სასამართლო გადაწყვეტს. ის ეხება ოპერაციებს, რომლებიც კლიენტს არ დაუდასტურებია — მაგალითად, როცა უცნობი ბანკომატიდან ნაღდ ფულს იღებს. თუ მსხვერპლი თაღლითის მითითებით თავად გადარიცხავს ფულს „უსაფრთხო ანგარიშზე“, ეს, როგორც წესი, ავტორიზებულ გადახდად ითვლება და დაუყოვნებლივი დაბრუნება ავტომატური არ არის.

თუ ფული უკვე გავიდა, გადაწყვეტილებიდან მარტივი თანმიმდევრობა გამომდინარეობს. არაავტორიზებული ოპერაციის შესახებ ბანკს დაუყოვნებლივ შეატყობინეთ, რადგან სასამართლო დროულ შეტყობინებას თანხის დაბრუნების პირობად მიიჩნევს. ევროკავშირში ბანკი ამის შემდეგ ვალდებულია, ფული მომდევნო სამუშაო დღის ბოლომდე დაგიბრუნოთ, თქვენს უყურადღებობაზე კი მოგვიანებით იდავოს; მიუთითეთ გადაწყვეტილება საქმეზე C-70/25.

ნიდერლანდური მედიის ცნობით, NVB-ის პოზიციაა, რომ გადაწყვეტილება ცვლის იმას, თუ როდის ბრუნდება თანხა, და არა იმას, ვინ იტვირთავს საბოლოოდ ზარალს. ეს ნაწილობრივ მართალია. მაგრამ დროს მნიშვნელობა აქვს. ერთია, თვეობით ელოდო და საკუთარი ფულისთვის იჩივლო; სულ სხვაა, მეორე დღესვე დაიბრუნო და უყურო, შეიწუხებს თუ არა ბანკი თავს იმის დასამტკიცებლად, რომ დამნაშავე შენ იყავი.

რა ითვლება დაუდევრობად

სწორედ აქ გაიმართება შემდეგი ბრძოლა. ბარათის ტელეფონთან მიდება იმიტომ, რომ „ბანკმა“ გთხოვა, უკანა რიცხვით გულუბრყვილოდ გამოიყურება, მაგრამ ორიოდე წლის წინ ამ ხრიკის შესახებ თითქმის არავის სმენოდა. 2026 წლის გაზაფხულზე Kifid-მა, ნიდერლანდების ფინანსური საჩივრების ორგანომ, ბანკებს მოუწოდა, კლიენტებს ეჭვის შემთხვევაში უფრო ხშირად მიეცათ უპირატესობა, რადგან კრიმინალები მსხვერპლებზე ზემოქმედებას ძალიან ოსტატურად ახერხებენ.

ბანკომატის სქემისთვის პირველი ნაბიჯი ახლა ნათელია, მეორე — ჯერ არა. მთავარ კითხვაზე ჯერ არცერთ სასამართლოს უპასუხია: არის თუ არა უხეში დაუდევრობა ენდო ხმას, რომელიც თქვენი ბანკის ხმად არის გენერირებული და ითხოვს იმას, რაც ნიდერლანდების პოლიციას ასეთი სახით აქამდე არასოდეს ენახა?