Je pas bleef in je hand, maar het geld kwam uit een verre geldautomaat

Het gesprek begint met een bandje. Een kalme stem meldt verdachte activiteit op je rekening en vraagt je op 1 te drukken als jij dat niet was. Daarna neemt een beleefde „bankmedewerker” het over. Je pas moet meteen worden geblokkeerd, zegt hij, dus installeer even deze app en houd de pas tegen de achterkant van je telefoon. Dat doe je. Op precies dat moment houdt een jongeman in een andere stad zijn eigen telefoon tegen een geldautomaat en neemt hij geld op van jouw pas, die gewoon in jouw hand ligt.

Zo werkte volgens de Nederlandse politie een groep die in oktober 2026 werd opgerold door het cybercrimeteam van Rotterdam. In de drie weken dat rechercheurs meekeken, telden ze zo’n 170 slachtoffers en € 380.000 schade, en dat waren niet alleen gepensioneerden: tientallen zaten in de twintig of dertig. De truc zelf is minstens twee jaar oud. Nieuw zijn de stemmen die door AI zijn gemaakt, en de vraag die ze met zich meeslepen: wie betaalt iemand terug die zelf zijn eigen pas tegen zijn eigen telefoon hield?

Een pas die over het internet wordt uitgerekt

Contactloos betalen draait op NFC, een radioverbinding die werkt over een paar centimeter. De betaalterminal of geldautomaat stuurt de pas een vraag, de chip antwoordt, en dat antwoord vertelt de bank dat de pas echt is. Alles leunt op simpele natuurkunde: als de chip antwoordt, moet de pas er wel vlak naast liggen.

De oplichtersapp speelt vals met die natuurkunde. Hij leest de antwoorden van de chip uit via de NFC-antenne in de telefoon van het slachtoffer en stuurt ze via een server door naar een tweede telefoon in de hand van een handlanger. Die houdt de telefoon tegen een geldautomaat, en de automaat „ziet” een pas die in werkelijkheid aan de andere kant van het land ligt. De pas wordt niet zozeer gekopieerd als wel verlengd: tussen chip en geldautomaat loopt een onzichtbare kabel van tientallen kilometers.

De politie beschrijft hoe de overdracht ging. Terwijl het slachtoffer de pas tegen de telefoon hield, stond een „pinner” met dezelfde app al klaar bij een geldautomaat of betaalterminal. (Vandaar de naam: de handlanger komt het geld pinnen.) Er ging zo duizenden euro’s de deur uit, zonder dat de slachtoffers het merkten. Hoe de groep aan pincodes kwam, staat niet in het politiebericht. Een politiewoordvoerder vertelde aan RTL Nieuws dat een pincode soms niet eens nodig is, zonder te zeggen om welke transacties het ging. Bij een vergelijkbare Tsjechische bende tikten slachtoffers hem gewoon zelf in de app in. Daarom herhaalt de politie steeds drie dingen die je bank je nooit zal vragen: een app downloaden, je pas tegen je telefoon houden of je pincode geven.

Geboren in een universiteitslab

De aanval heeft een academische stamboom. Studenten van het Secure Mobile Networking Lab van de Technische Universiteit Darmstadt in Duitsland bouwden NFCGate, een opensource-app voor Android die NFC-signalen tussen twee apparaten onderschept, opneemt en doorgeeft. Hij is bedoeld om onderzoekers contactloze protocollen op de proef te laten stellen. Op de projectpagina staat met zoveel woorden het verzoek hem niet voor kwade doeleinden te gebruiken.

Niet iedereen luisterde. In augustus 2024 beschreven onderzoekers van beveiligingsbedrijf ESET NGate, de eerste bekende malware die op NFCGate was gebouwd. Klanten van drie Tsjechische banken kregen sms’jes over belastingteruggave; slachtoffers installeerden daarna een nep-bankapp, voerden hun pincode in en hielden hun pas tegen de telefoon. In maart 2024 arresteerde de politie in Praag een 22-jarige die geld uit automaten had gehaald. Hij had 160.000 Tsjechische kronen (ongeveer € 6000) bij zich, die volgens de politie van alleen de laatste drie slachtoffers kwamen.

Daarna ging de methode in massaproductie. In de eerste helft van 2025 registreerde ESET ruim 35 keer zoveel NFC-aanvallen als in de tweede helft van 2024. Dat voorjaar vonden onderzoekers in Italië SuperCard X: dezelfde truc, als abonnement verkocht via Telegramkanalen, inclusief klantenservice. De makers van NFCGate melden op hun projectpagina inmiddels dat antivirussoftware hun onderzoekstool steeds aanziet voor NGate.

Een stem die klinkt als je bank

De Rotterdamse groep voegde één nieuw ingrediënt toe aan de oude techniek: de stem. Met AI maakten de oplichters tientallen opnames met verschillende stemmen, waarin ze zich voordeden als allerlei banken en bedrijven. AI leverde ze schaal op: één kleine groep kon klinken als veel verschillende organisaties, elk met een eigen stem, zonder ook maar één stemacteur in te huren. Een automatisch gesprek met een keuzemenu klinkt als een gewoon servicebericht, en op 1 drukken voelt niet riskant. Daarna nam een echt mens het over, met een belscript dat erop gericht was haast te creëren.

„Het is niet meer de oplichter aan de deur, maar een overtuigende beller die extreem professioneel overkomt”, zei Ruben van Well van het Rotterdamse cybercrimeteam. Volgens hem hadden rechercheurs deze technische werkwijze nog nooit eerder gezien.

Het gevaarlijke aan de methode is dat ze aanvoelt als bescherming. Je pas verlaat je handen niet, dus je denkt dat je je rekening veilig houdt, merkt de computervereniging HCC op. Op 1 drukken, de app installeren, de pas omhooghouden: elke stap lijkt een veiligheidsmaatregel, geen risico.

Banken zagen half september een piek, en op 6 oktober arresteerde de politie twee mannen: een 23-jarige die wordt verdacht van het bedenken van de opzet en een 25-jarige die ervan wordt verdacht hem te hebben gecoördineerd. Beiden zitten vast; geen van tweeën is veroordeeld.

Wie betaalt je terug

Voor slachtoffers begint de echte ellende na het gesprek. De bank kan zeggen: jij hebt de app geïnstalleerd en jij hebt de pas omhooggehouden, dat is grove nalatigheid. Nederlandse banken zeggen dat steeds vaker. In 2021 vergoedden banken 92% van de schade door bankhelpdeskfraude, in 2024 nog maar 48%, volgens de Nederlandse Vereniging van Banken (NVB). In 2025 raakten bijna 5900 slachtoffers samen bijna € 26 miljoen kwijt.

Op 15 oktober 2026 mengde het Hof van Justitie van de Europese Unie zich in die rekensom. De truc in die zaak was een andere, maar de strijd was dezelfde: de bank weigerde en wees naar de onvoorzichtigheid van de klant. Zaak C-70/25 begon in Polen. Een vrouw verkocht iets via een online marktplaats; een „koper” stuurde haar een link, zogenaamd om de verkoop te bevestigen, en ze tikte haar inloggegevens voor internetbankieren in op een nepsite. Er verdween zo’n € 700 van haar rekening. Ze meldde het de volgende dag, maar de bank wilde niet terugbetalen: volgens de bank had ze het helemaal aan zichzelf te danken.

Het Hof oordeelde dat dat niet mag, en draaide de volgorde om.

De redenering van het Hof was helder: als banken meteen konden weigeren, zou de plicht om direct terug te betalen niets voorstellen. Klanten zouden dan zelf naar de rechter moeten, met alle kosten en gedoe van dien. De uitspraak bindt rechters in de hele EU, al wordt het Poolse geschil zelf door een Poolse rechter beslecht. Ze geldt voor transacties die de klant niet heeft toegestaan, zoals een onbekende die geld opneemt bij een automaat. Als een slachtoffer de instructies van een oplichter volgt en zelf geld naar een „veilige rekening” overmaakt, geldt dat meestal als een toegestane betaling, en dan is een directe vergoeding niet vanzelfsprekend.

Is het geld al weg, dan wijst de uitspraak op een simpele volgorde. Meld de niet-toegestane transactie meteen bij je bank, want het Hof maakt een snelle melding tot voorwaarde voor terugbetaling. In de EU moet de bank je dan uiterlijk aan het eind van de volgende werkdag terugbetalen en kan ze pas daarna over je onvoorzichtigheid in discussie gaan; het arrest in zaak C-70/25 is het arrest om aan te halen.

Het standpunt van de NVB is volgens Nederlandse media dat de uitspraak verandert wanneer er wordt terugbetaald, niet wie uiteindelijk de schade draagt. Dat klopt deels. Maar timing doet ertoe. Maandenlang wachten en procederen voor je eigen geld is één ding; het de volgende dag terugkrijgen en afwachten of de bank de moeite neemt te bewijzen dat jij schuld had, is iets heel anders.

Wat telt als onvoorzichtig

Daar gaat het volgende gevecht over. Je pas tegen je telefoon houden omdat „de bank” erom vroeg, lijkt achteraf naïef, maar een paar jaar geleden had bijna niemand van deze truc gehoord. In het voorjaar van 2026 riep Kifid, het Nederlandse klachteninstituut voor financiële dienstverlening, banken op klanten vaker het voordeel van de twijfel te geven, omdat criminelen zo bedreven zijn in het bespelen van hun slachtoffers.

Voor de geldautomaatfraude is de eerste stap nu duidelijk, de tweede nog niet. Geen enkele rechter heeft de echte vraag al beantwoord: is het grove nalatigheid om een stem te vertrouwen die is gemaakt om te klinken als je bank, met een verzoek dat de Nederlandse politie in deze vorm nog nooit had gezien?