Kad tak pernah lepas dari tangan, tetapi wang keluar dari ATM nun jauh

Panggilan itu bermula dengan rakaman. Satu suara yang tenang memaklumkan ada aktiviti mencurigakan dalam akaun anda dan meminta anda menekan 1 jika transaksi itu bukan anda yang buat. Kemudian seorang “pegawai bank” yang sopan menyambung talian. Kad anda perlu disekat segera, katanya, jadi sila pasang aplikasi ini dan lekapkan kad pada belakang telefon. Anda pun menurut. Pada saat yang sama, di bandar lain, seorang lelaki muda mendekatkan telefonnya sendiri ke mesin ATM dan mengeluarkan wang tunai daripada kad anda, yang masih ada di dalam genggaman anda.

Itulah modus operandi yang menurut polis Belanda dijalankan oleh satu kumpulan sehingga pasukan jenayah siber Rotterdam menumpaskannya pada Oktober 2026. Dalam tiga minggu penyiasat memerhatikannya, mereka mengira kira-kira 170 mangsa dan kerugian €380,000, dan mangsanya bukan sekadar pesara: berpuluh-puluh orang berusia dua puluhan dan tiga puluhan. Helah itu sendiri sudah berusia sekurang-kurangnya dua tahun. Yang baharu ialah suara yang dijana AI, dan persoalan yang ikut terheret bersamanya: siapa yang perlu memulangkan wang kepada orang yang melekapkan kadnya sendiri pada telefonnya sendiri?

Kad yang direntangkan merentas internet

Pembayaran tanpa sentuh bergantung pada NFC, sambungan radio yang berfungsi dalam jarak beberapa sentimeter. Terminal atau ATM menghantar cabaran kepada kad, cip menjawab, dan jawapan itu memberitahu bank bahawa kad itu tulen. Semuanya bersandar pada fizik yang mudah: jika cip menjawab, maka kad mesti berada betul-betul di situ.

Aplikasi penipu itu mengakali fizik tersebut. Ia membaca jawapan cip melalui antena NFC pada telefon mangsa lalu memajukannya, menerusi sebuah pelayan, ke telefon kedua di tangan rakan sejenayah. Rakan sejenayah itu mengetuk telefon tersebut pada ATM, dan mesin itu “nampak” kad yang sebenarnya berada di hujung lain negara. Kad itu bukan disalin, sebaliknya dipanjangkan: seutas kabel halimunan sepanjang berpuluh-puluh kilometer terbentang antara cip dan mesin wang tunai.

Polis Belanda menggambarkan serah terimanya. Ketika mangsa melekapkan kad pada telefon, seorang “pinner” dengan aplikasi yang sama sudah menunggu di ATM atau terminal pembayaran. (Kata kerja Belanda pinnen bermaksud mengeluarkan wang tunai, maka itulah gelaran bagi rakan sejenayah yang mengutipnya.) Beribu-ribu euro dikeluarkan, dan mangsa tidak perasan apa-apa. Kenyataan polis tidak menyebut bagaimana kumpulan itu mendapatkan nombor PIN. Seorang jurucakap polis memberitahu penyiar RTL Nieuws bahawa kadangkala PIN pun tidak diperlukan, tanpa menjelaskan transaksi mana yang dimaksudkannya. Dalam skim serupa di Czech, mangsa sendiri menaip PIN terus ke dalam aplikasi. Sebab itulah polis berulang kali mengingatkan tiga perkara yang bank anda tidak akan sekali-kali minta: memuat turun aplikasi, melekapkan kad pada telefon atau memberikan PIN.

Lahir di makmal universiti

Serangan ini ada salasilah akademik. Pelajar di Secure Mobile Networking Lab, Universiti Teknikal Darmstadt di Jerman, membina NFCGate, aplikasi Android sumber terbuka yang menangkap, merakam dan menyalurkan isyarat NFC antara dua peranti. Tugasnya membantu penyelidik menguji ketahanan protokol tanpa sentuh. Halaman projek itu dengan terang-terangan meminta orang ramai supaya tidak menggunakannya untuk tujuan jahat.

Bukan semua orang peduli. Pada Ogos 2024, penyelidik di firma keselamatan ESET menghuraikan NGate, perisian hasad pertama yang diketahui dibina atas NFCGate. Pelanggan tiga bank Czech menerima mesej teks tentang bayaran balik cukai; mangsa kemudian memasang aplikasi perbankan palsu, memasukkan PIN dan melekapkan kad pada telefon. Pada Mac 2024, polis di Prague menahan seorang lelaki berusia 22 tahun yang selama ini mengeluarkan wang tunai dari ATM. Dia membawa 160,000 koruna Czech (kira-kira €6,000), yang menurut polis datang daripada tiga mangsa terakhir sahaja.

Selepas itu skim ini dihasilkan secara besar-besaran. Pada separuh pertama 2025, ESET merekodkan lebih 35 kali ganda serangan NFC berbanding separuh kedua 2024. Musim bunga tahun itu, penyelidik di Itali menemui SuperCard X, helah yang sama dijual secara langganan melalui saluran Telegram, siap dengan khidmat pelanggan. Pencipta NFCGate pula kini mencatat di halaman projek mereka bahawa perisian antivirus asyik tersilap menganggap alat penyelidikan mereka sebagai NGate.

Suara yang kedengaran seperti bank anda

Kumpulan Rotterdam menambah satu ramuan baharu pada teknik lama itu: suara. Penipu menggunakan AI untuk menghasilkan berpuluh-puluh rakaman dalam pelbagai suara, menyamar sebagai pelbagai bank dan syarikat. Yang AI berikan kepada mereka ialah skala: satu kumpulan kecil boleh kedengaran seperti banyak organisasi berbeza, masing-masing dengan suaranya sendiri, tanpa mengupah seorang pun pelakon suara. Panggilan automatik dengan menu kedengaran seperti mesej perkhidmatan biasa, dan menekan 1 tidak terasa berisiko. Kemudian seorang manusia sebenar mengambil alih, berpandukan skrip yang direka untuk mencipta rasa terdesak.

“Ia bukan lagi penipu yang datang mengetuk pintu, tetapi pemanggil meyakinkan yang kelihatan sangat profesional,” kata Ruben van Well dari pasukan jenayah siber Rotterdam. Tambahnya, penyiasat tidak pernah melihat kaedah teknikal ini sebelum ini.

Yang menjadikan skim ini berbahaya ialah ia terasa seperti perlindungan. Kad anda tidak pernah terlepas dari tangan, jadi anda sangka anda sedang menjaga keselamatan akaun, kata HCC, sebuah kelab pengguna komputer di Belanda. Tekan 1, pasang aplikasi, lekapkan kad: setiap langkah nampak seperti langkah keselamatan, bukan risiko.

Bank mengesan lonjakan pada pertengahan September, dan pada 6 Oktober polis menahan dua lelaki: seorang berusia 23 tahun yang disyaki dalang skim itu dan seorang berusia 25 tahun yang disyaki menyelaraskannya. Kedua-duanya ditahan reman; tiada seorang pun yang telah disabitkan kesalahan.

Siapa yang memulangkan wang anda

Bagi mangsa, masalah sebenar bermula selepas panggilan itu. Bank boleh berkata: anda yang pasang aplikasi dan anda yang lekapkan kad, jadi itu kecuaian teruk. Bank-bank di Belanda semakin kerap berkata begitu. Bank memulangkan 92% kerugian akibat penipuan meja bantuan bank palsu pada 2021 dan hanya 48% pada 2024, menurut Persatuan Bank Belanda (NVB). Pada 2025, hampir 5,900 mangsa secara keseluruhannya kehilangan hampir €26 juta.

Pada 15 Oktober 2026, Mahkamah Keadilan Kesatuan Eropah campur tangan dalam kira-kira itu. Helah dalam kesnya berbeza, tetapi pertikaiannya sama: bank menolak, menyalahkan kecuaian pelanggan. Kes C-70/25 bermula di Poland. Seorang wanita sedang menjual barang di pasaran dalam talian; seorang “pembeli” menghantar pautan kepadanya, kononnya untuk mengesahkan jualan, dan dia menaip butiran log masuk perbankan dalam taliannya pada halaman palsu. Kira-kira €700 lesap dari akaunnya. Dia melaporkannya keesokan hari, tetapi bank enggan memulangkan wangnya: pada pandangan bank, dia hanya boleh menyalahkan dirinya sendiri.

Mahkamah memutuskan bahawa perkara ini tidak dibenarkan, lalu menterbalikkan urutan langkahnya.

Hujah mahkamah mudah: jika bank boleh menolak dari awal, kewajipan memulangkan wang dengan segera tidak bermakna apa-apa. Pelanggan terpaksa pergi ke mahkamah sendiri, dengan segala kos dan kerenahnya. Keputusan itu mengikat mahkamah di seluruh EU, walaupun pertikaian di Poland itu sendiri akan diselesaikan oleh mahkamah Poland. Ia terpakai bagi transaksi yang tidak dibenarkan oleh pelanggan, seperti orang asing mengeluarkan wang tunai di ATM. Jika mangsa mengikut arahan penipu dan memindahkan wang ke “akaun selamat” sendiri, itu biasanya dikira sebagai pembayaran yang dibenarkan, dan bayaran balik serta-merta tidak berlaku secara automatik.

Jika wang sudah lesap, keputusan itu mencadangkan urutan yang mudah. Laporkan transaksi tanpa kebenaran itu kepada bank anda dengan segera, kerana mahkamah menjadikan pemberitahuan segera sebagai syarat bayaran balik. Di EU, bank kemudian wajib memulangkan wang anda selewat-lewatnya pada penghujung hari bekerja berikutnya dan boleh berhujah tentang kecuaian anda kemudian; penghakiman dalam kes C-70/25 ialah rujukan yang perlu dipetik.

Pendirian NVB, menurut laporan media Belanda, ialah keputusan itu mengubah bila bayaran balik berlaku, bukan siapa yang akhirnya menanggung kerugian. Itu ada benarnya. Tetapi masa itu penting. Menunggu berbulan-bulan dan menyaman demi wang sendiri ialah satu hal; mendapatkannya semula keesokan hari dan melihat sama ada bank bersusah payah membuktikan kesalahan anda ialah hal yang lain sama sekali.

Apa yang dikira cuai

Di situlah pertarungan seterusnya. Melekapkan kad pada telefon kerana “bank” yang minta nampak naif apabila difikirkan semula, tetapi beberapa tahun lalu hampir tiada siapa pernah mendengar tentang helah ini. Pada musim bunga 2026, Kifid, badan aduan kewangan Belanda, menggesa bank supaya lebih kerap memberi pelanggan manfaat keraguan, kerana penjenayah begitu mahir memanipulasi mangsa.

Bagi skim ATM ini, langkah pertama kini jelas, langkah kedua belum. Belum ada mahkamah yang menjawab persoalan sebenar: adakah mempercayai suara yang dijana supaya kedengaran seperti bank anda, yang membuat permintaan yang polis Belanda sendiri tidak pernah lihat dalam bentuk ini sebelumnya, dikira kecuaian teruk?