Cardul nu ți-a ieșit din mână, dar banii au plecat dintr-un bancomat departe

Apelul începe cu o înregistrare. O voce calmă te anunță că pe contul tău au apărut operațiuni suspecte și te roagă să apeși tasta 1 dacă nu le-ai autorizat tu. Apoi intră pe fir un „angajat al băncii”, foarte politicos. Cardul trebuie blocat imediat, spune el, așa că instalează te rog aplicația asta și ține cardul lipit de spatele telefonului. Așa faci. În aceeași clipă, în alt oraș, un tânăr își apropie propriul telefon de un bancomat și scoate bani de pe cardul tău, care stă liniștit în mâna ta.

Acesta e scenariul pe care, potrivit poliției olandeze, l-a folosit o grupare până când echipa de criminalitate informatică din Rotterdam a destructurat-o, în octombrie 2026. În cele trei săptămâni în care au urmărit-o, anchetatorii au numărat circa 170 de victime și pagube de 380.000 de euro. Și nu era vorba doar de pensionari: zeci dintre păgubiți aveau între 20 și 40 de ani. Trucul în sine are cel puțin doi ani. Nou e altceva: vocile generate de inteligența artificială și întrebarea pe care o aduc cu ele. Cine îi dă banii înapoi cuiva care și-a lipit singur cardul de propriul telefon?

Un card întins prin internet

Plata contactless funcționează prin NFC, o legătură radio cu o rază de câțiva centimetri. Terminalul sau bancomatul îi trimite cardului o provocare, cipul răspunde, iar răspunsul acesta îi confirmă băncii că avem de-a face cu un card autentic. Totul se sprijină pe o fizică simplă: dacă cipul răspunde, înseamnă că și cardul e chiar acolo.

Aplicația escrocilor păcălește fizica asta. Citește răspunsurile cipului prin antena NFC a telefonului victimei și le trimite, printr-un server, către un al doilea telefon, aflat în mâna complicelui. Complicele apropie telefonul de bancomat, iar aparatul „vede” un card care se află, de fapt, la celălalt capăt al țării. Cardul nu e atât copiat, cât prelungit: între cip și bancomat se întinde un cablu invizibil, lung de zeci de kilometri.

Poliția olandeză descrie cum se făcea predarea ștafetei. În timp ce victima ținea cardul lipit de telefon, un „pinner” cu aceeași aplicație aștepta deja la un bancomat sau la un terminal de plată. (Verbul olandez pinnen înseamnă „a scoate numerar”, de aici și numele complicelui care ridică banii.) Au plecat mii de euro, iar victimele nu au observat nimic. Comunicatul poliției nu spune cum obținea gruparea codurile PIN. Un purtător de cuvânt al poliției a declarat pentru postul RTL Nieuws că uneori nici nu e nevoie de PIN, fără să precizeze despre ce tranzacții vorbea. Într-o schemă asemănătoare din Cehia, victimele îl introduceau direct în aplicație. De aceea poliția repetă întruna trei lucruri pe care banca nu ți le va cere niciodată: să descarci o aplicație, să-ți ții cardul lângă telefon sau să-ți spui PIN-ul.

Născut într-un laborator universitar

Atacul are un arbore genealogic academic. Studenții de la Secure Mobile Networking Lab al Universității Tehnice din Darmstadt, în Germania, au creat NFCGate, o aplicație Android open-source care captează, înregistrează și retransmite semnale NFC între două dispozitive. Rostul ei e să-i ajute pe cercetători să pună la încercare protocoalele contactless. Pagina proiectului le cere utilizatorilor, cu toate cuvintele, să nu o folosească în scopuri rău intenționate.

Nu toată lumea a ascultat. În august 2024, cercetătorii firmei de securitate ESET au descris NGate, primul malware cunoscut construit pe baza NFCGate. Clienții a trei bănci cehe primeau SMS-uri despre o rambursare de impozit; victimele instalau apoi o aplicație bancară falsă, introduceau PIN-ul și țineau cardul lângă telefon. În martie 2024, poliția din Praga a arestat un tânăr de 22 de ani care scotea bani de la bancomate. Avea asupra lui 160.000 de coroane cehe (circa 6.000 de euro), care, potrivit poliției, proveneau doar de la ultimele trei victime.

După asta, schema a intrat în producție de masă. În prima jumătate a lui 2025, ESET a înregistrat de peste 35 de ori mai multe atacuri NFC decât în a doua jumătate a lui 2024. În primăvara aceea, cercetători din Italia au descoperit SuperCard X: același truc, vândut pe bază de abonament prin canale de Telegram, cu tot cu serviciu de asistență pentru clienți. Între timp, autorii NFCGate notează pe pagina proiectului că antivirusurile le confundă mereu instrumentul de cercetare cu NGate.

O voce care sună ca banca ta

Gruparea din Rotterdam a adăugat vechii tehnici un singur ingredient nou: vocea. Escrocii au folosit IA ca să producă zeci de înregistrări cu voci diferite, dându-se drept diverse bănci și companii. Ce le-a adus IA a fost amploarea: un grup mic putea să sune ca o mulțime de organizații diferite, fiecare cu vocea ei, fără să angajeze vreun actor de voce. Un apel automat cu meniu sună ca un mesaj de serviciu obișnuit, iar apăsarea tastei 1 nu pare riscantă. Apoi prelua convorbirea un om în carne și oase, care lucra după un scenariu gândit să creeze senzația de urgență.

„Nu mai e un escroc care bate la ușă, ci cineva convingător la telefon, care pare extrem de profesionist”, a spus Ruben van Well, din echipa de criminalitate informatică din Rotterdam. El a adăugat că anchetatorii nu mai văzuseră până acum această metodă tehnică.

Periculos la schema asta e că seamănă cu o măsură de protecție. Cardul nu-ți iese din mână, așa că ai impresia că îți aperi contul, observă HCC, un club olandez al utilizatorilor de calculatoare. Apeși 1, instalezi aplicația, ții cardul lângă telefon: fiecare pas arată ca o măsură de siguranță, nu ca un risc.

Băncile au observat un val de cazuri la mijlocul lui septembrie, iar pe 6 octombrie poliția a arestat doi bărbați: unul de 23 de ani, bănuit că a pus la cale schema, și unul de 25 de ani, bănuit că o coordona. Amândoi sunt în arest; niciunul nu a fost condamnat.

Cine îți dă banii înapoi

Pentru victime, adevăratele necazuri încep după apel. Banca poate spune: ai instalat aplicația și ai ținut cardul lângă telefon, deci e neglijență gravă. Băncile olandeze spun asta tot mai des. Potrivit Asociației Bancare Olandeze (NVB), băncile au rambursat 92% din pagubele produse de frauda cu falși angajați ai serviciului bancar de asistență în 2021 și doar 48% în 2024. În 2025, aproape 5.900 de victime au pierdut împreună aproape 26 de milioane de euro.

Pe 15 octombrie 2026, Curtea de Justiție a Uniunii Europene a intervenit în socoteala asta. Trucul din cazul judecat era altul, dar disputa era aceeași: banca refuzase, punând totul pe seama neatenției clientei. Cauza C-70/25 a pornit din Polonia. O femeie vindea ceva pe o platformă online; un „cumpărător” i-a trimis un link, chipurile ca să confirme vânzarea, iar ea și-a introdus datele de autentificare pentru internet banking pe o pagină falsă. Din cont i-au dispărut circa 700 de euro. A raportat a doua zi, dar banca nu a vrut să-i dea banii înapoi: în opinia ei, femeia era singura vinovată.

Curtea a decis că așa ceva nu e permis și a inversat ordinea lucrurilor.

Raționamentul Curții a fost simplu: dacă băncile ar putea refuza din capul locului, obligația de rambursare imediată nu ar mai avea niciun sens. Clienții ar trebui să meargă singuri în instanță, cu toate costurile și bătăile de cap. Decizia e obligatorie pentru instanțele din întreaga UE, deși disputa poloneză propriu-zisă va fi tranșată de o instanță din Polonia. Ea se aplică tranzacțiilor pe care clientul nu le-a autorizat, cum ar fi un străin care scoate bani de la bancomat. Dacă victima urmează instrucțiunile unui escroc și mută singură banii într-un „cont sigur”, de obicei asta contează drept plată autorizată, iar rambursarea imediată nu mai e automată.

Dacă banii au dispărut deja, decizia sugerează o succesiune simplă de pași. Raportează imediat tranzacția neautorizată la bancă, pentru că Curtea face din notificarea promptă o condiție a rambursării. În UE, banca trebuie apoi să-ți dea banii înapoi până la sfârșitul următoarei zile lucrătoare și poate discuta despre neatenția ta mai târziu; hotărârea pe care o poți invoca este cea din cauza C-70/25.

Poziția NVB, relatează presa olandeză, este că decizia schimbă momentul rambursării, nu pe cel care suportă în final paguba. E parțial adevărat. Dar momentul contează. Una e să aștepți luni de zile și să te judeci pentru propriii bani; cu totul alta e să-i primești înapoi a doua zi și să vezi dacă banca se mai obosește să dovedească că ai fost vinovat.

Ce înseamnă neatenție

Acolo se va da următoarea bătălie. Să-ți ții cardul lângă telefon pentru că ți-a cerut „banca” pare naiv privind în urmă, dar acum câțiva ani aproape nimeni nu auzise de trucul ăsta. În primăvara lui 2026, Kifid, organismul olandez de soluționare a reclamațiilor financiare, a îndemnat băncile să le acorde clienților mai des prezumția de bună-credință, pentru că infractorii se pricep foarte bine să-și manipuleze victimele.

În cazul schemei cu bancomatul, primul pas e acum limpede, al doilea nu. Nicio instanță nu a răspuns încă la adevărata întrebare: e neglijență gravă să ai încredere într-o voce generată ca să sune ca banca ta, care îți face o cerere pe care nici poliția olandeză nu o mai văzuse până atunci în forma asta?