Карта қолыңызда қалды, ал ақшаны алыстағы банкоматтан шешіп алды

Қоңырау жазбадан басталады. Сабырлы дауыс шотыңызда күдікті әрекет байқалғанын айтып, егер оны сіз жасамасаңыз, 1 санын басуды сұрайды. Содан кейін желіге сыпайы «банк қызметкері» қосылады. Картаңызды дереу бұғаттау керек дейді ол, сондықтан мына қосымшаны орнатып, картаны телефонның артқы жағына тақаңыз. Сіз айтқанын істейсіз. Дәл сол сәтте басқа қалада бір жас жігіт өз телефонын банкоматқа тосып, сіздің картаңыздан қолма-қол ақша шешіп жатыр. Ал карта әлі де сіздің қолыңызда.

Нидерланд полициясының айтуынша, бір топ осы сценариймен 2026 жылғы қазанда Роттердамның киберқылмыспен күрес тобы оны таратқанға дейін жұмыс істеген. Тергеушілер топты бақылаған үш аптада шамамен 170 жәбірленуші мен 380 000 еуро шығын санаған. Олардың арасында тек зейнеткерлер емес, жиырма-отыз жастағы ондаған адам болған. Айланың өзі кемінде екі жылдық. Жаңалығы — жасанды интеллект жасаған дауыстар және соларға ілесе келетін сұрақ: өз картасын өз телефонына өзі тақаған адамға ақшаны кім қайтарады?

Интернет арқылы созылған карта

Контактісіз төлем NFC-ке, яғни бірнеше сантиметрде ғана жұмыс істейтін радиобайланысқа негізделген. Терминал не банкомат картаға сұрақ жібереді, чип жауап береді, ал сол жауап банкке картаның шын екенін көрсетеді. Барлығы қарапайым физикаға сүйенеді: чип жауап берсе, карта осы жерде, қасында тұр деген сөз.

Алаяқтардың қосымшасы осы физиканы алдайды. Ол жәбірленушінің телефонындағы NFC антеннасы арқылы чиптің жауаптарын оқып, оларды сервер арқылы сыбайластың қолындағы екінші телефонға жөнелтеді. Сыбайлас сол телефонды банкоматқа тақайды, ал аппарат іс жүзінде елдің арғы шетінде жатқан картаны «көреді». Картаның көшірмесі жасалмайды, ол керісінше ұзарады: чип пен банкоматтың арасына ұзындығы ондаған шақырым көрінбейтін кабель тартылғандай.

Нидерланд полициясы бұл жеткізу тізбегін сипаттап береді. Жәбірленуші картаны телефонға тақап тұрғанда, сол қосымшасы бар «пиннер» банкоматтың немесе төлем терминалының жанында дайын күтіп тұрған. (Нидерланд тіліндегі pinnen етістігі «қолма-қол ақша шешу» дегенді білдіреді, ақшаны жинайтын сыбайластың атауы осыдан.) Мыңдаған еуро шешіліп кетті, ал жәбірленушілер мұны байқамады. Полиция хабарламасында топ PIN-кодтарды қалай алғаны айтылмайды. Полиция өкілі RTL Nieuws телеарнасына кейде PIN-код мүлде керек болмайтынын айтты, бірақ қандай операцияларды меңзегенін нақтыламады. Чехиядағы осыған ұқсас схемада жәбірленушілер кодты тікелей қосымшаға өздері енгізген. Сондықтан полиция банкіңіз ешқашан сұрамайтын үш нәрсені қайта-қайта ескертеді: қосымша жүктеу, картаны телефонға тақау және PIN-кодты айту.

Университет зертханасында туған

Бұл шабуылдың академиялық шежіресі бар. Германиядағы Дармштадт техникалық университетінің Secure Mobile Networking Lab зертханасының студенттері NFCGate атты ашық кодты Android қосымшасын жасаған. Ол екі құрылғы арасындағы NFC сигналдарын ұстап, жазып, бірінен біріне жеткізе алады. Мақсаты — зерттеушілерге контактісіз хаттамалардың беріктігін тексеруге көмектесу. Жоба парағында оны зиянды мақсатқа пайдаланбауды ашық сұрайды.

Бәрі бірдей құлақ асқан жоқ. 2024 жылғы тамызда ESET қауіпсіздік компаниясының зерттеушілері NFCGate негізінде жасалған алғашқы белгілі зиянды бағдарлама — NGate-ті сипаттады. Чехияның үш банкінің клиенттеріне салықты қайтару туралы SMS келген. Содан кейін жәбірленушілер жалған банк қосымшасын орнатып, PIN-кодты енгізіп, картаны телефонға тақаған. 2024 жылғы наурызда Прага полициясы банкоматтардан қолма-қол ақша шешіп жүрген 22 жастағы жігітті ұстады. Оның жанынан 160 000 чех кронасы (шамамен 6000 еуро) табылды, полицияның айтуынша, бұл тек соңғы үш жәбірленушінің ақшасы еді.

Осыдан кейін схема конвейерге түсті. 2025 жылдың бірінші жартысында ESET 2024 жылдың екінші жартысымен салыстырғанда NFC шабуылдарын 35 еседен астам көп тіркеді. Сол көктемде Италиядағы зерттеушілер SuperCard X тапты: дәл сол айла Telegram арналары арқылы жазылыммен сатылған, тіпті клиенттерді қолдау қызметі де болған. NFCGate авторлары болса енді жоба парағында антивирустар олардың зерттеу құралын NGate-пен шатастыра беретінін жазып қояды.

Банкіңіздің дауысына ұқсайтын дауыс

Роттердам тобы ескі әдіске бір жаңа құрамдас қосты: дауыс. Алаяқтар ЖИ көмегімен түрлі банктер мен компаниялардың атынан әртүрлі дауыспен ондаған жазба жасаған. ЖИ оларға ауқым сыйлады: шағын ғана топ бір де бір дыбыстау актерін жалдамай, әрқайсысының өз дауысы бар көптеген ұйым болып көріне алды. Мәзірі бар автоматты қоңырау кәдімгі сервистік хабарлама сияқты естіледі, ал 1 санын басу қауіпті көрінбейді. Содан кейін іске тірі адам кірісіп, асығыстық сезімін тудыруға арналған сценарий бойынша сөйлескен.

«Бұл енді есік қаққан алаяқ емес, өте кәсіби көрінетін, сенімді сөйлейтін қоңырау шалушы», — деді Роттердамның киберқылмыс тобынан Рубен ван Велл. Оның айтуынша, тергеушілер мұндай техникалық әдісті бұрын-соңды көрмеген.

Схеманың қауіптілігі — ол қорғаныс сияқты сезіледі. Карта қолыңыздан шықпайды, сондықтан сіз шотыңызды қорғап тұрмын деп ойлайсыз, деп атап өтеді нидерландтық компьютер пайдаланушылар клубы HCC. 1 санын басу, қосымшаны орнату, картаны тақау — әр қадам тәуекел емес, сақтық шарасы болып көрінеді.

Банктер қыркүйектің ортасында күрт өсуді байқады, ал 6 қазанда полиция екі ер адамды ұстады: схеманың ұйымдастырушысы деп күдіктелген 23 жастағы жігіт пен оны үйлестірді деп күдіктелген 25 жастағы жігіт. Екеуі де қамауда, екеуі де сотталған жоқ.

Ақшаны кім қайтарады

Жәбірленушілер үшін нағыз әуре қоңыраудан кейін басталады. Банк былай дей алады: қосымшаны өзіңіз орнаттыңыз, картаны өзіңіз тақадыңыз, демек бұл өрескел немқұрайлылық. Нидерланд банктері мұны барған сайын жиі айтады. Нидерланд банктер қауымдастығының (NVB) деректері бойынша, банктер жалған банк қолдау қызметі алаяқтығынан келген шығынның 2021 жылы 92%-ын, ал 2024 жылы бар-жоғы 48%-ын өтеген. 2025 жылы 5900-ге жуық жәбірленуші жалпы алғанда 26 миллион еуроға жуық ақшадан айырылды.

2026 жылғы 15 қазанда Еуропалық Одақтың Әділет соты осы есепке араласты. Оның ісіндегі айла басқа еді, бірақ дау сол: банк клиенттің абайсыздығын алға тартып, ақшаны қайтарудан бас тартқан. C-70/25 ісі Польшада басталды. Бір әйел интернет-алаңда бір затын сатып жатқан. «Сатып алушы» оған сатуды растау үшін деп сілтеме жіберген, ал ол жалған параққа интернет-банкингке кіретін деректерін енгізген. Шотынан шамамен 700 еуро кетті. Ол келесі күні хабарлады, бірақ банк ақшаны қайтармады: оның пікірінше, әйел тек өзін кінәлауы керек еді.

Сот бұған жол берілмейтінін шешті және оқиғалардың ретін төңкеріп тастады.

Соттың уәжі қарапайым: егер банктер басынан-ақ бас тарта алса, ақшаны дереу қайтару міндетінің ешқандай мәні қалмас еді. Клиенттер барлық шығыны мен әурешілігімен сотқа өздері жүгінуге мәжбүр болар еді. Шешім бүкіл ЕО соттары үшін міндетті, ал поляк дауының өзін Польша соты шешеді. Ол клиент рұқсат бермеген операцияларға, мысалы, бөгде адамның банкоматтан қолма-қол ақша шешуіне қатысты. Егер жәбірленуші алаяқтың нұсқауымен ақшаны «қауіпсіз шотқа» өзі аударса, бұл әдетте рұқсат етілген төлем болып саналады және дереу қайтару автоматты түрде жүрмейді.

Ақша кетіп қойса, шешім қарапайым ретті ұсынады. Рұқсат етілмеген операция туралы банкіңізге дереу хабарлаңыз, өйткені сот дер кезінде хабарлауды ақшаны қайтарудың шарты етеді. ЕО-да банк содан кейін ақшаны келесі жұмыс күнінің соңына дейін қайтаруға міндетті, ал абайсыздығыңыз туралы кейін дауласа алады; сілтеме жасайтын шешім — C-70/25 ісі бойынша үкім.

Нидерланд БАҚ-тарының хабарлауынша, NVB ұстанымы мынадай: шешім ақшаның қашан қайтарылатынын өзгертеді, ал шығынды түптің түбінде кім көтеретінін өзгертпейді. Бұл ішінара рас. Бірақ уақыттың маңызы зор. Айлап күтіп, өз ақшаң үшін сотқа жүгіну — бір басқа, ақшаны келесі күні қайтарып алып, банктің сенің кінәңді дәлелдеуге әуреленер-әуреленбесін бақылау — мүлде басқа.

Абайсыздық деп нені санайды

Келесі тартыс дәл осы жерде болмақ. «Банк» сұрағандықтан картаны телефонға тақау артынан қарағанда аңғалдық сияқты көрінеді, бірақ бірер жыл бұрын бұл айла туралы ешкім дерлік естімеген еді. 2026 жылдың көктемінде Нидерландтың қаржылық шағымдар жөніндегі органы Kifid банктерді клиенттердің пайдасына көбірек шешуге шақырды, өйткені қылмыскерлер жәбірленушілерді өте шебер арбайды.

Банкомат схемасы бойынша бірінші қадам енді түсінікті, ал екіншісі әлі белгісіз. Нақты сұраққа әзірге бірде-бір сот жауап берген жоқ: банкіңіздің дауысына ұқсатып жасалған дауысқа, Нидерланд полициясы бұрын мұндай түрде көрмеген өтінішке сену — өрескел немқұрайлылық па?