Karta zostala v ruke, peniaze vybral bankomat v inom meste

Hovor sa začína nahrávkou. Pokojný hlas oznámi podozrivú transakciu na vašom účte a požiada vás, aby ste stlačili „1“, ak ste ju nerobili. Potom sa na linke ozve zdvorilý „pracovník banky“: kartu treba okamžite zablokovať, a preto si máte nainštalovať aplikáciu a priložiť kartu k zadnej strane telefónu. Priložíte ju. V tej istej minúte v inom meste mladý chalan podrží svoj telefón pri bankomate a vyberie z vašej karty hotovosť. Karta je pritom stále vo vašej ruke.

Podľa správy holandskej polície takto fungovala skupina, ktorú v októbri 2026 rozbil rotterdamský útvar pre kybernetickú kriminalitu. Za tri týždne sledovania vyšetrovatelia napočítali asi 170 obetí a škodu 380 000 €, a nešlo len o dôchodcov: medzi obeťami boli desiatky dvadsiatnikov a tridsiatnikov. Samotný trik nie je nový, existuje najmenej dva roky. Nové boli hlasy vytvorené neurónovou sieťou a otázka, ktorá sa s nimi vynára: kto vráti peniaze človeku, ktorý si kartu k telefónu priložil sám?

Karta predĺžená cez internet

Bezkontaktné platby stoja na NFC, teda rádiovom spojení na vzdialenosť niekoľkých centimetrov. Terminál alebo bankomat pošle karte požiadavku, čip v karte odpovie a podľa tejto odpovede banka spozná, že karta je pravá. Celá ochrana sa opiera o jednoduchú fyziku: keď čip odpovedal, karta je nablízku.

Podvodná aplikácia túto fyziku oklame. Odpovede čipu číta cez NFC modul telefónu obete a cez server ich preposiela do druhého telefónu, ku komplicovi. Ten priloží svoj smartfón k bankomatu a bankomat „vidí“ kartu, ktorá leží na druhom konci krajiny. Zjednodušene povedané, karta sa nekopíruje, ale predlžuje: medzi čip a bankomat sa natiahne neviditeľný drôt dlhý desiatky kilometrov.

Holandská polícia to opisuje takto: kým obeť tlačila kartu k telefónu, „piner“ s tou istou aplikáciou už čakal pri bankomate alebo platobnom termináli. Pinnen znamená po holandsky „vyberať hotovosť“, odtiaľ prezývka komplica, ktorý peniaze zbiera. Odchádzali tisíce eur a ľudia si nič nevšimli. Ako skupina zisťovala PIN, polícia vo svojej správe neuvádza. Jej hovorca povedal televízii RTL Nieuws, že niekedy PIN ani netreba, no o aké transakcie ide, nespresnil. V podobnej českej schéme ho obete zadávali priamo v aplikácii. Preto polícia opakuje tri veci, o ktoré banka nikdy nepožiada: stiahnuť aplikáciu, priložiť kartu k telefónu a prezradiť PIN.

Hračka z univerzitného laboratória

Tento útok má akademický rodokmeň. Na Technickej univerzite v Darmstadte napísali študenti laboratória mobilných sietí pre výskumníkov NFCGate, otvorenú aplikáciu pre Android. Zachytáva, zaznamenáva a preposiela NFC signál medzi dvoma zariadeniami, aby sa dali testovať protokoly bezkontaktnej komunikácie. Autori v popise projektu priamo žiadajú, aby ho nikto nezneužíval.

Prosba nepomohla. V auguste 2024 výskumníci z ESET opísali NGate, prvý známy škodlivý program postavený na NFCGate. Klientom troch českých bánk chodili SMS o vrátení dane. Človek si potom nainštaloval falošnú bankovú aplikáciu, zadal PIN a priložil kartu k telefónu. V marci 2024 polícia zadržala v Prahe 22-ročného mladíka, ktorý vyberal peniaze z bankomatov. Mal pri sebe 160 000 korún (asi 6 000 €), a to boli podľa polície peniaze len troch posledných obetí.

Potom sa schéma rozšírila vo veľkom. V prvej polovici roka 2025 ESET napočítal viac ako 35-krát viac NFC útokov než v druhej polovici roka 2024. Na jar 2025 sa v Taliansku objavil SuperCard X: ten istý trik, len na predplatné. Predával sa cez kanály na Telegrame a „zákazníkom“ patrila zákaznícka podpora. Irónia na záver: autori NFCGate dnes v popise projektu upozorňujú, že antivírusy ich výskumný nástroj omylom považujú za NGate.

Hlas, ktorý znie ako banka

Rotterdamská skupina pridala k starej technike niečo nové: hlas. Podvodníci s pomocou umelej inteligencie nahovorili desiatky nahrávok rôznymi hlasmi v mene rôznych bánk a firiem. Neurónová sieť im dala rozsah: malá skupina znela ako množstvo organizácií, každá s vlastným hlasom, a nemuseli hľadať žiadnych hovorcov. Automatický hovor s voľbou tlačidla pripomína bežnú správu od služby, takže stlačiť „1“ sa nezdá nebezpečné. Potom sa na linke objavil živý človek: čítal zo scenára a súril.

„Už to nie je podvodník za dverami, ale presvedčivý partner v rozhovore, ktorý znie veľmi profesionálne,“ povedal Ruben van Well z rotterdamského útvaru pre kybernetickú kriminalitu. Podľa jeho slov sa vyšetrovatelia s takouto technickou schémou doteraz nestretli.

Zákernosť schémy je v tom, že vyzerá ako ochrana. V holandskom počítačovom klube HCC upozorňujú, že karta nikdy neopustí ruku, a človek má pocit, že chráni svoj účet. Stlačiť „1“, nainštalovať aplikáciu, priložiť kartu: každý krok vyzerá ako bezpečnostné opatrenie, nie ako riziko.

Banky si nárast všimli v polovici septembra a 6. októbra polícia zadržala dvoch mužov: 23-ročného údajného organizátora a 25-ročného koordinátora. Obaja sú vo väzbe, ich vina nie je dokázaná, rozsudok nepadol.

Kto vráti peniaze

Pre obeť sa to najťažšie začína až po hovore. Banka môže povedať: aplikáciu ste si nainštalovali sami a kartu ste priložili sami, to je hrubá nedbanlivosť. Holandské banky odpovedajú takto čoraz častejšie. Podľa Holandskej bankovej asociácie (NVB) banky v roku 2021 obetiam falošnej zákazníckej podpory preplácali 92 % škody, v roku 2024 už len 48 %. Obetí bolo v roku 2025 takmer 5 900 a spolu prišli takmer o 26 mil. €.

Do tejto aritmetiky 15. októbra 2026 zasiahol Súdny dvor Európskej únie. Trik v jeho prípade bol iný, spor však rovnaký: banka odmietla s odvolaním na nedbanlivosť klienta. Prípad C-70/25 sa začal v Poľsku. Žena predávala vec na inzertnom portáli, „kupujúci“ jej poslal odkaz údajne na potvrdenie obchodu a ona zadala prihlasovacie údaje do internetbankingu na falošnej stránke. Z účtu odišlo asi 700 €. Na druhý deň to nahlásila banke, peniaze jej však nevrátili: podľa banky si za to mohla sama.

Súdny dvor EÚ rozhodol, že takto to nejde, a zmenil poradie krokov.

Súd svoju logiku vysvetlil priamo: ak by banka mohla odmietnuť hneď, povinnosť vrátiť peniaze okamžite by stratila zmysel a klient by musel ísť na súd sám, s nákladmi a starosťami. Rozhodnutie je záväzné pre súdy všetkých krajín EÚ, no konkrétny poľský spor rozhodne poľský súd. Pravidlo sa týka transakcií, ktoré klient neautorizoval, napríklad keď cudzí človek vyberá hotovosť z bankomatu. Ak však človek na pokyn podvodníka sám previedol peniaze na „bezpečný účet“, spravidla sa to považuje za autorizovanú platbu a okamžité vrátenie mu automaticky nepatrí.

Ak už peniaze odišli, z rozhodnutia vyplýva jednoduchý postup. Strhnutie, ktoré ste neautorizovali, treba banke nahlásiť hneď: rýchle nahlásenie súd označuje za podmienku vrátenia. Banka v EÚ potom musí peniaze vrátiť do konca nasledujúceho pracovného dňa a nedbanlivosť klienta môže dokazovať až neskôr. Ak sa banka bráni, odvolajte sa na rozhodnutie vo veci C-70/25.

V NVB sa podľa holandskej tlače domnievajú, že rozhodnutie mení lehotu vrátenia, nie to, kto nakoniec stratu znesie. Sčasti je to pravda. Poradie je však dôležité: jedna vec je čakať mesiace a súdiť sa o vlastné peniaze, iná dostať ich na druhý deň a sledovať, či sa banka odhodlá vinu dokazovať.

Čo je nedbanlivosť

Práve tu sa začne ďalší spor. Spätne sa priložiť kartu k telefónu na prosbu „banky“ zdá naivné, no ešte pred pár rokmi o takom triku takmer nikto nepočul. Holandský finančný ombudsman Kifid na jar 2026 vyzval banky, aby pochybnosti častejšie vykladali v prospech klienta: podvodníci postupujú príliš šikovne.

Pri schéme s bankomatom je prvý krok teraz jasný, druhý nie. Súdy zatiaľ neodpovedali na hlavnú otázku. Dá sa za hrubú nedbanlivosť považovať dôvera v hlas, ktorý neurónová sieť upravila tak, aby znel ako vaša banka, a v prosbu, s ktorou sa holandská polícia v takejto podobe stretla po prvý raz?