Карта осталась в руке, а деньги сняли в банкомате в другом городе

Звонок начинается с записи. Ровный голос сообщает о подозрительной операции по вашему счёту и просит нажать «1», если вы её не совершали. Дальше на линии вежливый «сотрудник банка»: карту надо срочно заблокировать, а для этого — поставить приложение и приложить её к задней крышке телефона. Вы прикладываете. В ту же минуту в другом городе молодой парень подносит свой телефон к банкомату и снимает с вашей карты наличные. Сама карта по-прежнему у вас в руке.

Так, судя по сообщению полиции Нидерландов, работала группа, которую в октябре 2026 года накрыл отдел киберпреступлений Роттердама. За три недели наблюдения следователи насчитали около 170 пострадавших и €380 000 ущерба, и это были не только пенсионеры: среди жертв десятки двадцати- и тридцатилетних. Сам приём не нов, ему по меньшей мере два года. Новыми оказались голоса, созданные нейросетью, и вопрос, который за ними тянется: кто вернёт деньги человеку, если карту к телефону он приложил сам?

Карта, которую удлинили через интернет

Бесконтактная оплата держится на NFC: это радиосвязь на расстоянии нескольких сантиметров. Терминал или банкомат шлёт карте запрос, чип в карте отвечает, и по этому ответу банк понимает, что карта настоящая. Вся защита держится на простой физике: раз чип ответил, карта рядом.

Мошенническое приложение эту физику обманывает. Оно читает ответы чипа через NFC-модуль телефона жертвы и через сервер пересылает их на второй телефон — к сообщнику. Тот прикладывает свой смартфон к банкомату, и банкомат «видит» карту, которая лежит в другом конце страны. Если упростить, карту не копируют, а удлиняют: между чипом и банкоматом протягивают невидимый провод длиной в десятки километров.

Голландская полиция описывает это так: пока жертва прижимала карту к телефону, «пинер» с тем же приложением уже ждал у банкомата или платёжного терминала. Pinnen по-голландски — «снимать наличные», отсюда и прозвище сообщника, который забирает деньги. Деньги уходили тысячами евро, а люди ничего не замечали. Как группа узнавала ПИН-код, полиция в сообщении не пишет. Её представитель сказал телеканалу RTL Nieuws, что иногда ПИН-код даже не нужен, но о каких операциях речь, не уточнил. В похожей чешской схеме жертвы набирали его прямо в приложении. Поэтому полиция повторяет три вещи, о которых банк не попросит никогда: скачать приложение, приложить карту к телефону и назвать ПИН-код.

Игрушка из университетской лаборатории

У этой атаки есть академическая родословная. В Техническом университете Дармштадта студенты лаборатории мобильных сетей написали для исследователей NFCGate — открытое приложение для Android. Оно перехватывает, записывает и пересылает NFC-сигнал между двумя устройствами, чтобы проверять протоколы бесконтактной связи на прочность. В описании проекта авторы прямо просят не использовать его во зло.

Просьба не помогла. В августе 2024 года исследователи ESET описали NGate — первую известную вредоносную программу на основе NFCGate. Клиентам трёх чешских банков приходили SMS о возврате налогов. Дальше человек ставил поддельное банковское приложение, вводил ПИН-код и прикладывал карту к телефону. В марте 2024 года полиция задержала в Праге 22-летнего парня, который снимал деньги в банкоматах. При нём нашли 160 000 крон (около €6000) — как сообщила полиция, деньги лишь трёх последних жертв.

Дальше схема пошла в тираж. В первой половине 2025 года ESET насчитала в 35 с лишним раз больше NFC-атак, чем во второй половине 2024-го. Весной 2025 года в Италии нашли SuperCard X: тот же приём, только по подписке. Его продавали через Telegram-каналы, а «клиентам» полагалась служба поддержки. Вышло иронично: теперь авторы NFCGate предупреждают в описании проекта, что антивирусы по ошибке принимают их исследовательский инструмент за NGate.

Голос, который звучит как банк

Роттердамская группа добавила к старой технике новое: голос. С помощью ИИ мошенники озвучили десятки записей разными голосами от имени разных банков и компаний. Нейросеть дала им масштаб: небольшая группа звучала как множество организаций, у каждой свой голос, и никаких дикторов искать не пришлось. Автоматический звонок с выбором кнопки похож на обычную рассылку сервиса, и нажать «1» не кажется опасным. Дальше на линии появлялся живой человек: он читал по сценарию и торопил.

«Это больше не мошенник у двери, а убедительный собеседник, который звучит очень профессионально», — сказал Рубен ван Велл из отдела киберпреступлений Роттердама. По его словам, такую техническую схему следователи раньше не встречали.

Коварство схемы в том, что она похожа на защиту. В нидерландском компьютерном клубе HCC замечают: карта не покидает рук, и человеку кажется, что он бережёт свой счёт. Нажать «1», поставить приложение, приложить карту: каждый шаг выглядит мерой безопасности, а не риском.

Банки заметили всплеск в середине сентября, а 6 октября полиция задержала двоих: 23-летнего предполагаемого организатора и 25-летнего координатора. Оба под стражей, их вина не доказана, приговора нет.

Кто вернёт деньги

Для пострадавшего самое трудное начинается после звонка. Банк может сказать: вы сами поставили приложение и сами приложили карту, это грубая небрежность. Голландские банки всё чаще так и отвечают. По подсчётам Нидерландской ассоциации банков (NVB), в 2021 году жертвам поддельной службы поддержки банки возмещали 92% ущерба, а в 2024-м только 48%. Пострадавших в 2025 году было почти 5900, вместе они потеряли почти €26 млн.

15 октября 2026 года в эту арифметику вмешался Суд Европейского союза. Уловка в его деле была другой, а спор тот же: банк отказал, сославшись на небрежность клиента. Дело C-70/25 началось в Польше. Женщина продавала вещь на сайте объявлений, «покупатель» прислал ссылку якобы для подтверждения сделки, и она ввела данные интернет-банка на поддельной странице. Со счёта ушло около €700. На следующий день она сообщила в банк, но деньги ей не вернули: по мнению банка, она сама виновата.

Суд ЕС решил, что так нельзя, и поменял порядок действий.

Логику суд объяснил прямо: если банк сможет отказывать сразу, обязанность вернуть деньги немедленно потеряет смысл, а клиенту придётся самому идти в суд, с расходами и хлопотами. Решение обязательно для судов всех стран ЕС, но конкретный польский спор разрешит польский суд. Правило касается операций, которых клиент не разрешал, — например, когда чужой человек снимает наличные у банкомата. Если же человек под диктовку мошенника сам перевёл деньги на «безопасный счёт», это, как правило, считается разрешённым платежом, и немедленный возврат ему автоматически не положен.

Если деньги уже ушли, из решения следует простой порядок. Сообщить банку о списании, которого вы не разрешали, нужно сразу: быстрое сообщение суд называет условием возврата. После этого банк в ЕС обязан вернуть деньги до конца следующего рабочего дня, а доказывать небрежность клиента может уже потом. Если банк спорит, сошлитесь на решение по делу C-70/25.

В NVB, как пишет голландская пресса, считают, что решение меняет срок возврата, а не то, на ком в итоге окажется убыток. Отчасти это правда. Но порядок важен: одно дело ждать месяцами и судиться за свои деньги, другое — получить их на следующий день и смотреть, решится ли банк доказывать вину.

Что считать небрежностью

Здесь и начнётся следующий спор. Задним числом приложить карту к телефону по просьбе «банка» кажется наивным, но ещё пару лет назад о такой уловке почти никто не слышал. Голландский финансовый омбудсмен Kifid весной 2026 года призвал банки чаще толковать сомнения в пользу клиента: мошенники действуют слишком умело.

Для схемы с банкоматом первый шаг теперь ясен, второй нет. Суды пока не ответили на главный вопрос. Можно ли назвать грубой небрежностью доверие к голосу, который нейросеть сделала похожим на ваш банк, и к просьбе, которую голландская полиция в таком виде встретила впервые?