Kortet ble i hånden din, men pengene forsvant fra en minibank langt unna

Samtalen starter med et opptak. En rolig stemme melder om mistenkelig aktivitet på kontoen din og ber deg trykke 1 hvis det ikke var deg. Så kommer en høflig «bankansatt» på tråden. Kortet ditt må sperres med en gang, sier han, så vær så snill å installere denne appen og holde kortet mot baksiden av telefonen. Du gjør det. I samme øyeblikk, i en annen by, holder en ung mann sin egen telefon mot en minibank og tar ut kontanter fra kortet ditt – som fortsatt ligger i hånden din.

Slik gikk én gruppe fram, ifølge nederlandsk politi, helt til datakrimteamet i Rotterdam satte en stopper for det i oktober 2026. I løpet av de tre ukene etterforskerne fulgte med, telte de rundt 170 ofre og 380 000 euro i tap, og det var ikke bare pensjonister: flere titalls var i tjue- og trettiårene. Selve trikset er minst to år gammelt. Det nye er de KI-genererte stemmene – og spørsmålet de drar med seg: Hvem skal betale tilbake til noen som selv holdt sitt eget kort mot sin egen telefon?

Et kort strukket over internett

Kontaktløs betaling bygger på NFC, en radioforbindelse som virker over noen få centimeter. Terminalen eller minibanken sender kortet en utfordring, brikken svarer, og svaret forteller banken at kortet er ekte. Alt hviler på enkel fysikk: Hvis brikken svarer, må kortet være rett der.

Svindelappen jukser med den fysikken. Den leser brikkens svar via NFC-antennen i offerets telefon og sender dem, gjennom en server, videre til en annen telefon i hånden på en medhjelper. Medhjelperen holder den telefonen mot en minibank, og maskinen «ser» et kort som egentlig befinner seg i den andre enden av landet. Kortet blir ikke så mye kopiert som forlenget: En usynlig kabel, flere mil lang, går mellom brikken og minibanken.

Nederlandsk politi beskriver overleveringen. Mens offeret holdt kortet mot telefonen, sto en «pinner» med den samme appen allerede klar ved en minibank eller en betalingsterminal. (Det nederlandske verbet pinnen betyr å ta ut kontanter, derav navnet på medhjelperen som henter dem.) Tusenvis av euro forsvant, uten at ofrene merket noe. Politiets pressemelding sier ikke hvordan gruppen fikk tak i PIN-kodene. En talsperson for politiet fortalte kanalen RTL Nieuws at PIN noen ganger ikke engang trengs, uten å si hvilke transaksjoner han mente. I et lignende tsjekkisk opplegg tastet ofrene den rett inn i appen. Derfor gjentar politiet tre ting banken din aldri vil be deg om: å laste ned en app, å holde kortet mot telefonen eller å oppgi PIN-koden.

Født i et universitetslaboratorium

Angrepet har et akademisk stamtre. Studenter ved Secure Mobile Networking Lab ved Det tekniske universitetet i Darmstadt i Tyskland laget NFCGate, en Android-app med åpen kildekode som fanger opp, tar opp og videresender NFC-signaler mellom to enheter. Oppgaven er å hjelpe forskere med å stressteste kontaktløse protokoller. Prosjektsiden ber folk, med rene ord, om ikke å bruke den til ondsinnede formål.

Ikke alle hørte etter. I august 2024 beskrev forskere i sikkerhetsselskapet ESET NGate, det første kjente skadeprogrammet bygget på NFCGate. Kunder i tre tsjekkiske banker fikk SMS-er om skatterefusjon; ofrene installerte deretter en falsk bankapp, tastet inn PIN-koden og holdt kortet mot telefonen. I mars 2024 pågrep politiet i Praha en 22-åring som hadde tatt ut kontanter fra minibanker. Han hadde med seg 160 000 tsjekkiske kroner (rundt 6000 euro), som ifølge politiet stammet fra bare de tre siste ofrene.

Etter det gikk opplegget over i masseproduksjon. I første halvår 2025 registrerte ESET over 35 ganger så mange NFC-angrep som i andre halvår 2024. Samme vår fant forskere i Italia SuperCard X, det samme trikset solgt som abonnement gjennom Telegram-kanaler, komplett med kundestøtte. NFCGates skapere skriver i mellomtiden på prosjektsiden at antivirusprogrammer stadig forveksler forskningsverktøyet deres med NGate.

En stemme som høres ut som banken din

Gruppen i Rotterdam tilførte den gamle teknikken én ny ingrediens: stemmen. Svindlerne brukte KI til å lage titalls opptak med forskjellige stemmer, der de utga seg for å være ulike banker og selskaper. Det KI ga dem, var skala: Én liten gruppe kunne høres ut som mange forskjellige organisasjoner, hver med sin egen stemme, uten å leie inn en eneste stemmeskuespiller. En automatisk samtale med en meny høres ut som en vanlig servicemelding, og å trykke 1 føles ikke risikabelt. Deretter tok et levende menneske over, med et manus laget for å skape hastverk.

«Det er ikke lenger en svindler på dørstokken, men en overbevisende innringer som framstår som ekstremt profesjonell», sa Ruben van Well i datakrimteamet i Rotterdam. Han la til at etterforskerne aldri hadde sett denne tekniske metoden før.

Det som gjør opplegget farlig, er at det føles som beskyttelse. Kortet forlater aldri hendene dine, så du tror du holder kontoen trygg, påpeker HCC, en nederlandsk forening for databrukere. Trykke 1, installere appen, holde fram kortet: Hvert steg ser ut som et sikkerhetstiltak, ikke en risiko.

Bankene la merke til en topp i midten av september, og 6. oktober pågrep politiet to menn: en 23-åring som mistenkes for å være hjernen bak opplegget, og en 25-åring som mistenkes for å ha koordinert det. Begge sitter varetektsfengslet; ingen av dem er dømt.

Hvem betaler deg tilbake

For ofrene begynner de egentlige problemene etter samtalen. Banken kan si: Du installerte appen, og du holdt fram kortet, så det er grov uaktsomhet. Nederlandske banker sier det stadig oftere. Bankene refunderte 92 prosent av tapene fra svindel med falske bankkundesentre i 2021 og bare 48 prosent i 2024, ifølge den nederlandske bankforeningen (NVB). I 2025 tapte nesten 5900 ofre nesten 26 millioner euro til sammen.

15. oktober 2026 grep EU-domstolen inn i dette regnestykket. Trikset i saken var et annet, men striden var den samme: Banken nektet og la skylden på kundens uforsiktighet. Sak C-70/25 startet i Polen. En kvinne solgte noe på en nettbasert markedsplass; en «kjøper» sendte henne en lenke, angivelig for å bekrefte salget, og hun tastet inn innloggingen til nettbanken på en falsk side. Rundt 700 euro forsvant fra kontoen. Hun meldte fra dagen etter, men banken ville ikke betale henne tilbake: Slik banken så det, hadde hun bare seg selv å takke.

Domstolen slo fast at dette ikke er tillatt, og snudde rekkefølgen på hendelsene.

Domstolens begrunnelse var enkel: Hvis bankene kunne nekte fra starten av, ville plikten til umiddelbar refusjon vært meningsløs. Kundene måtte selv gå til retten, med alt det koster av penger og bry. Dommen binder domstoler i hele EU, selv om selve den polske tvisten skal avgjøres av en polsk domstol. Den gjelder transaksjoner kunden ikke har godkjent, for eksempel at en fremmed tar ut kontanter i en minibank. Hvis et offer følger svindlerens instrukser og selv flytter penger til en «trygg konto», regnes det vanligvis som en godkjent betaling, og da er umiddelbar refusjon ikke automatisk.

Hvis pengene allerede er borte, peker dommen på en enkel rekkefølge. Meld fra om den uautoriserte transaksjonen til banken med en gang, for domstolen gjør rask melding til et vilkår for refusjon. I EU må banken da betale deg tilbake innen utgangen av neste virkedag og kan krangle om uforsiktigheten din senere; dommen i sak C-70/25 er den du bør vise til.

NVBs syn er, ifølge nederlandske medier, at dommen endrer når refusjonen skjer, ikke hvem som til slutt bærer tapet. Det er delvis riktig. Men tidspunktet betyr noe. Å vente i månedsvis og saksøke for å få dine egne penger er én ting; å få dem tilbake dagen etter og se om banken i det hele tatt gidder å bevise at du var skyld i det, er noe helt annet.

Hva som regnes som uforsiktig

Det er der neste kamp vil stå. Å holde kortet mot telefonen fordi «banken» ba om det, ser naivt ut i ettertid, men for et par år siden hadde nesten ingen hørt om dette trikset. Våren 2026 oppfordret Kifid, det nederlandske klageorganet for finansielle tjenester, bankene til oftere å gi kundene tvilen til gode, fordi kriminelle er så dyktige til å bearbeide ofrene sine.

For minibankopplegget er første steg nå klart, men ikke det andre. Ingen domstol har ennå svart på det egentlige spørsmålet: Er det grov uaktsomhet å stole på en stemme som er generert for å høres ut som banken din, og som kommer med en forespørsel nederlandsk politi aldri før hadde sett i denne formen?