Karta została w dłoni, a pieniądze zniknęły z bankomatu w innym mieście

Rozmowa zaczyna się od nagrania. Spokojny głos informuje o podejrzanej operacji na twoim koncie i prosi o wciśnięcie „1”, jeśli to nie ty ją zleciłeś. Potem na linii pojawia się uprzejmy „pracownik banku”: kartę trzeba natychmiast zablokować, a żeby to zrobić, należy zainstalować aplikację i przyłożyć kartę do tylnej obudowy telefonu. Przykładasz. W tej samej minucie w innym mieście młody chłopak zbliża swój telefon do bankomatu i wypłaca gotówkę z twojej karty. Sama karta wciąż jest w twojej dłoni.

Tak, według komunikatu policji holenderskiej, działała grupa, którą w październiku 2026 roku namierzył wydział ds. cyberprzestępczości w Rotterdamie. W ciągu trzech tygodni obserwacji śledczy naliczyli około 170 poszkodowanych i 380 000 euro strat. I nie byli to wyłącznie emeryci: wśród ofiar znalazły się dziesiątki dwudziesto- i trzydziestolatków. Sama sztuczka nie jest nowa, ma co najmniej dwa lata. Nowością okazały się głosy wygenerowane przez sieć neuronową i pytanie, które za nimi idzie: kto odda pieniądze człowiekowi, który sam przyłożył kartę do telefonu?

Karta przedłużona przez internet

Płatności zbliżeniowe opierają się na NFC, czyli łączności radiowej na odległość kilku centymetrów. Terminal albo bankomat wysyła zapytanie do karty, chip odpowiada, a po tej odpowiedzi bank poznaje, że karta jest prawdziwa. Całe zabezpieczenie stoi na prostej fizyce: skoro chip odpowiedział, karta jest blisko.

Aplikacja oszustów tę fizykę oszukuje. Odczytuje odpowiedzi chipa przez moduł NFC w telefonie ofiary i przez serwer przesyła je na drugi telefon, do wspólnika. Ten przykłada smartfon do bankomatu, a bankomat „widzi” kartę, która leży na drugim końcu kraju. Upraszczając: karty nikt nie kopiuje, tylko się ją przedłuża. Między chipem a bankomatem ciągnie się niewidzialny kabel długi na dziesiątki kilometrów.

Holenderska policja opisuje to tak: gdy ofiara przyciskała kartę do telefonu, „piner” z tą samą aplikacją czekał już przy bankomacie albo terminalu płatniczym. Pinnen to po niderlandzku „wypłacać gotówkę”, stąd przezwisko wspólnika, który odbiera pieniądze. Znikały tysiące euro, a ludzie niczego nie zauważali. Jak grupa poznawała PIN, policja w komunikacie nie pisze. Jej przedstawiciel powiedział telewizji RTL Nieuws, że czasem PIN w ogóle nie jest potrzebny, ale nie sprecyzował, o jakie operacje chodzi. W podobnym czeskim schemacie ofiary wpisywały go wprost w aplikacji. Dlatego policja powtarza trzy rzeczy, o które bank nigdy nie poprosi: pobranie aplikacji, przyłożenie karty do telefonu i podanie PIN-u.

Zabawka z uniwersyteckiego laboratorium

Ten atak ma akademicki rodowód. Na Uniwersytecie Technicznym w Darmstadt studenci z laboratorium sieci mobilnych napisali dla badaczy NFCGate, otwartą aplikację na Androida. Przechwytuje, zapisuje i przekazuje sygnał NFC między dwoma urządzeniami, żeby sprawdzać odporność protokołów łączności zbliżeniowej. W opisie projektu autorzy wprost proszą, by nie używać go w złych celach.

Prośba nie pomogła. W sierpniu 2024 roku badacze ESET opisali NGate, pierwsze znane złośliwe oprogramowanie oparte na NFCGate. Klienci trzech czeskich banków dostawali SMS-y o zwrocie podatku. Potem instalowali fałszywą aplikację bankową, wpisywali PIN i przykładali kartę do telefonu. W marcu 2024 roku policja zatrzymała w Pradze 22-latka, który wypłacał pieniądze z bankomatów. Miał przy sobie 160 000 koron (około 6000 euro), a według policji były to pieniądze zaledwie trzech ostatnich ofiar.

Potem schemat poszedł w masową produkcję. W pierwszej połowie 2025 roku ESET naliczył ponad 35 razy więcej ataków NFC niż w drugiej połowie 2024 roku. Wiosną 2025 roku we Włoszech wykryto SuperCard X: ta sama sztuczka, tylko w abonamencie. Sprzedawano go przez kanały na Telegramie, a „klientom” przysługiwało wsparcie techniczne. Wyszło ironicznie: dziś autorzy NFCGate ostrzegają w opisie projektu, że antywirusy omyłkowo biorą ich narzędzie badawcze za NGate.

Głos, który brzmi jak bank

Grupa z Rotterdamu dodała do starej techniki coś nowego: głos. Za pomocą AI oszuści nagrali dziesiątki komunikatów różnymi głosami w imieniu różnych banków i firm. Sieć neuronowa dała im skalę: niewielka grupa brzmiała jak wiele instytucji, każda z własnym głosem, i nie trzeba było szukać żadnych lektorów. Automatyczne połączenie z wyborem przycisku przypomina zwykłe powiadomienie z jakiegoś serwisu, więc wciśnięcie „1” nie wydaje się groźne. Potem na linii pojawiał się żywy człowiek: czytał ze scenariusza i poganiał.

„To już nie oszust pod drzwiami, tylko przekonujący rozmówca, który brzmi bardzo profesjonalnie” — powiedział Ruben van Well z rotterdamskiego wydziału ds. cyberprzestępczości. Jak dodał, śledczy wcześniej nie spotkali się z takim schematem technicznym.

Podstęp polega na tym, że cała operacja wygląda jak ochrona. W niderlandzkim klubie komputerowym HCC zwracają uwagę: karta nie opuszcza dłoni, więc człowiekowi wydaje się, że chroni swoje konto. Wcisnąć „1”, zainstalować aplikację, przyłożyć kartę: każdy krok wygląda na środek bezpieczeństwa, a nie na ryzyko.

Banki zauważyły skok w połowie września, a 6 października policja zatrzymała dwie osoby: 23-letniego domniemanego organizatora i 25-letniego koordynatora. Obaj są w areszcie, ich wina nie została udowodniona, wyroku nie ma.

Kto odda pieniądze

Dla poszkodowanego najtrudniejsze zaczyna się po telefonie. Bank może powiedzieć: sam zainstalowałeś aplikację i sam przyłożyłeś kartę, to rażące niedbalstwo. Holenderskie banki coraz częściej tak właśnie odpowiadają. Według wyliczeń Holenderskiego Związku Banków (NVB) w 2021 roku ofiarom fałszywych infolinii bankowych banki zwracały 92% strat, a w 2024 roku już tylko 48%. W 2025 roku poszkodowanych było prawie 5900, a razem stracili blisko 26 mln euro.

15 października 2026 roku w tę arytmetykę wkroczył Trybunał Sprawiedliwości Unii Europejskiej. Sztuczka w jego sprawie była inna, ale spór ten sam: bank odmówił, powołując się na niedbalstwo klienta. Sprawa C-70/25 zaczęła się w Polsce. Kobieta sprzedawała coś w serwisie ogłoszeniowym, „kupujący” przysłał link rzekomo do potwierdzenia transakcji, a ona wpisała dane do bankowości internetowej na fałszywej stronie. Z konta zniknęło około 700 euro. Następnego dnia zgłosiła to w banku, ale pieniędzy jej nie oddano: zdaniem banku sama była sobie winna.

TSUE orzekł, że tak nie wolno, i odwrócił kolejność działań.

Trybunał wyjaśnił swoją logikę wprost: gdyby bank mógł odmawiać od razu, obowiązek natychmiastowego zwrotu straciłby sens, a klient musiałby sam iść do sądu, z kosztami i kłopotami. Wyrok wiąże sądy wszystkich państw UE, ale konkretny polski spór rozstrzygnie polski sąd. Zasada dotyczy transakcji, których klient nie autoryzował, na przykład gdy obca osoba wypłaca gotówkę z bankomatu. Jeśli natomiast człowiek pod dyktando oszusta sam przelał pieniądze na „bezpieczne konto”, zwykle uznaje się to za płatność autoryzowaną i natychmiastowy zwrot nie należy mu się automatycznie.

Jeśli pieniądze już zniknęły, z wyroku wynika prosta kolejność. Obciążenie, którego nie autoryzowałeś, trzeba zgłosić bankowi od razu: szybkie zgłoszenie Trybunał nazywa warunkiem zwrotu. Potem bank w UE musi oddać pieniądze do końca następnego dnia roboczego, a niedbalstwo klienta może udowadniać dopiero później. Jeśli bank się upiera, powołaj się na wyrok w sprawie C-70/25.

W NVB, jak pisze holenderska prasa, uważają, że wyrok zmienia termin zwrotu, a nie to, kto ostatecznie poniesie stratę. Częściowo to prawda. Ale kolejność ma znaczenie: czym innym jest czekać miesiącami i procesować się o własne pieniądze, a czym innym dostać je następnego dnia i patrzeć, czy bank odważy się udowadniać winę.

Co uznać za niedbalstwo

Tu właśnie zacznie się kolejny spór. Z perspektywy czasu przyłożenie karty do telefonu na prośbę „banku” wydaje się naiwne, ale jeszcze parę lat temu prawie nikt o takiej sztuczce nie słyszał. Holenderski rzecznik finansowy Kifid wiosną 2026 roku wezwał banki, by częściej rozstrzygały wątpliwości na korzyść klienta, bo oszuści działają zbyt umiejętnie.

W przypadku schematu z bankomatem pierwszy krok jest teraz jasny, drugi nie. Sądy nie odpowiedziały jeszcze na najważniejsze pytanie. Czy można nazwać rażącym niedbalstwem zaufanie do głosu, który sieć neuronowa upodobniła do twojego banku, i do prośby, z którą holenderska policja w takiej postaci spotkała się po raz pierwszy?