Seu cartão nunca saiu da sua mão, mas o dinheiro saiu de um caixa distante

A ligação começa com uma gravação. Uma voz tranquila avisa que houve atividade suspeita na sua conta e pede que você tecle 1 se não reconhece a operação. Em seguida entra na linha um “funcionário do banco” muito educado. O cartão precisa ser bloqueado agora mesmo, ele diz, então instale este aplicativo e encoste o cartão na traseira do celular. Você obedece. Nesse mesmo instante, em outra cidade, um rapaz aproxima o próprio celular de um caixa eletrônico e saca dinheiro do seu cartão, que continua na sua mão.

Esse é o roteiro que, segundo a polícia holandesa, um grupo seguiu até ser desmantelado pela equipe de crimes cibernéticos de Roterdã em outubro de 2026. Nas três semanas em que os investigadores acompanharam o esquema, contaram cerca de 170 vítimas e € 380 mil em prejuízos, e não eram só aposentados: dezenas tinham entre 20 e 40 anos. O truque em si tem pelo menos dois anos. A novidade são as vozes geradas por IA e a pergunta que elas trazem a reboque: quem devolve o dinheiro de alguém que encostou o próprio cartão no próprio celular?

Um cartão esticado pela internet

O pagamento por aproximação funciona com NFC, uma conexão de rádio que alcança poucos centímetros. A maquininha ou o caixa eletrônico manda um desafio ao cartão, o chip responde, e essa resposta diz ao banco que o cartão é verdadeiro. Tudo se apoia numa física simples: se o chip respondeu, o cartão está ali.

O aplicativo do golpe engana essa física. Ele lê as respostas do chip pela antena NFC do celular da vítima e as encaminha, por meio de um servidor, para um segundo celular na mão de um comparsa. O comparsa encosta esse aparelho no caixa eletrônico, e a máquina “enxerga” um cartão que na verdade está do outro lado do país. O cartão não é bem copiado, e sim esticado: um cabo invisível de dezenas de quilômetros liga o chip ao caixa.

A polícia holandesa descreve a passagem de bastão. Enquanto a vítima segurava o cartão junto ao celular, um “pinner” com o mesmo aplicativo já esperava num caixa eletrônico ou numa maquininha. (O verbo holandês pinnen quer dizer sacar dinheiro, daí o apelido do comparsa que recolhe a grana.) Saíram milhares de euros, e as vítimas nem perceberam. O comunicado da polícia não diz como o grupo conseguia as senhas. Um porta-voz da polícia disse à emissora RTL Nieuws que às vezes nem é preciso senha, sem explicar a que transações se referia. Num esquema parecido na República Tcheca, as vítimas digitavam a senha direto no aplicativo. Por isso a polícia não se cansa de repetir três coisas que o seu banco nunca vai pedir: baixar um aplicativo, encostar o cartão no celular ou informar a senha.

Nascido num laboratório universitário

O ataque tem árvore genealógica acadêmica. Estudantes do Secure Mobile Networking Lab da Universidade Técnica de Darmstadt, na Alemanha, criaram o NFCGate, um aplicativo Android de código aberto que capta, grava e retransmite sinais NFC entre dois aparelhos. A função dele é ajudar pesquisadores a testar a resistência dos protocolos de pagamento por aproximação. A página do projeto pede, com todas as letras, que ninguém o use para fins maliciosos.

Nem todo mundo deu ouvidos. Em agosto de 2024, pesquisadores da empresa de segurança ESET descreveram o NGate, o primeiro malware conhecido construído sobre o NFCGate. Clientes de três bancos tchecos receberam SMS sobre uma restituição de imposto; as vítimas então instalavam um falso aplicativo do banco, digitavam a senha e encostavam o cartão no celular. Em março de 2024, a polícia de Praga prendeu um rapaz de 22 anos que vinha sacando dinheiro em caixas eletrônicos. Ele levava 160 mil coroas tchecas (cerca de € 6 mil), que, segundo a polícia, vinham só das três últimas vítimas.

Depois disso, o esquema entrou em produção em massa. No primeiro semestre de 2025, a ESET registrou mais de 35 vezes mais ataques por NFC do que no segundo semestre de 2024. Naquela primavera europeia, pesquisadores na Itália encontraram o SuperCard X, o mesmo truque vendido por assinatura em canais do Telegram, com direito a suporte ao cliente. Os autores do NFCGate, por sua vez, agora avisam na página do projeto que antivírus vivem confundindo a ferramenta de pesquisa deles com o NGate.

Uma voz igualzinha à do seu banco

O grupo de Roterdã acrescentou um único ingrediente novo à velha técnica: a voz. Os golpistas usaram IA para produzir dezenas de gravações com vozes diferentes, fingindo ser vários bancos e empresas. O que a IA lhes deu foi escala: um grupo pequeno podia soar como muitas organizações diferentes, cada uma com sua voz, sem contratar um único locutor. Uma ligação automática com menu parece um aviso de serviço comum, e teclar 1 não dá sensação de risco. Depois, uma pessoa de verdade assumia a conversa, seguindo um roteiro feito para criar urgência.

“Já não é um vigarista batendo à porta, e sim alguém convincente ao telefone, que passa uma imagem extremamente profissional”, disse Ruben van Well, da equipe de crimes cibernéticos de Roterdã. Ele acrescentou que os investigadores nunca tinham visto esse método técnico antes.

O que torna o esquema perigoso é que ele parece proteção. O cartão nunca sai das suas mãos, então você acha que está mantendo a conta segura, observa o HCC, um clube holandês de usuários de computador. Teclar 1, instalar o aplicativo, encostar o cartão: cada passo parece uma medida de segurança, não um risco.

Os bancos notaram um pico em meados de setembro, e em 6 de outubro a polícia prendeu dois homens: um de 23 anos, suspeito de ser o cérebro do esquema, e um de 25, suspeito de coordená-lo. Os dois estão presos; nenhum foi condenado.

Quem devolve o seu dinheiro

Para as vítimas, o problema de verdade começa depois da ligação. O banco pode dizer: você instalou o aplicativo e encostou o cartão, isso é negligência grave. Os bancos holandeses dizem isso cada vez mais. Segundo a Associação Holandesa de Bancos (NVB), os bancos ressarciram 92% das perdas com o golpe da falsa central do banco em 2021 e apenas 48% em 2024. Em 2025, quase 5.900 vítimas perderam juntas quase € 26 milhões.

Em 15 de outubro de 2026, o Tribunal de Justiça da União Europeia entrou nessa conta. O truque no caso julgado era outro, mas a briga era a mesma: o banco se recusou a pagar, culpando o descuido da cliente. O processo C-70/25 começou na Polônia. Uma mulher vendia algo num site de classificados; um “comprador” mandou um link, supostamente para confirmar a venda, e ela digitou o login do internet banking numa página falsa. Cerca de € 700 saíram da conta dela. Ela avisou o banco no dia seguinte, mas o banco não devolveu o dinheiro: na visão dele, a culpa era só dela.

O tribunal decidiu que isso não é permitido e inverteu a ordem das coisas.

O raciocínio do tribunal foi direto: se os bancos pudessem recusar de saída, a obrigação de devolver na hora não serviria para nada. Os clientes teriam que ir à Justiça por conta própria, com todo o custo e a dor de cabeça. A decisão vincula os tribunais de toda a UE, embora a disputa polonesa em si vá ser resolvida por um tribunal polonês. Ela vale para transações que o cliente não autorizou, como um estranho sacando dinheiro num caixa eletrônico. Se a vítima segue as instruções do golpista e ela mesma transfere o dinheiro para uma “conta segura”, isso em geral conta como pagamento autorizado, e o reembolso imediato não é automático.

Se o dinheiro já sumiu, a decisão sugere uma sequência simples. Comunique a transação não autorizada ao banco imediatamente, porque o tribunal faz do aviso rápido uma condição para o reembolso. Na UE, o banco então tem que devolver o valor até o fim do dia útil seguinte e só depois pode discutir o seu descuido; a decisão a citar é a do processo C-70/25.

A posição da NVB, segundo a imprensa holandesa, é que a decisão muda quando o reembolso acontece, não quem arca com o prejuízo no fim. Em parte, é verdade. Mas o momento faz diferença. Esperar meses e processar o banco pelo próprio dinheiro é uma coisa; recebê-lo de volta no dia seguinte e ver se o banco vai se dar ao trabalho de provar que a culpa foi sua é outra bem diferente.

O que conta como descuido

É aí que vai ser a próxima briga. Encostar o cartão no celular porque “o banco” pediu parece ingenuidade olhando para trás, mas há um ou dois anos quase ninguém tinha ouvido falar desse truque. Na primavera europeia de 2026, o Kifid, órgão holandês de reclamações financeiras, pediu aos bancos que dessem aos clientes o benefício da dúvida com mais frequência, porque os criminosos são muito habilidosos em manipular as vítimas.

No golpe do caixa eletrônico, o primeiro passo agora está claro, e o segundo não. Nenhum tribunal respondeu ainda à pergunta de verdade: é negligência grave confiar numa voz gerada para soar como o seu banco, fazendo um pedido que a polícia holandesa nunca tinha visto nesse formato?