Картица вам је у руци, а новац нестаје на банкомату у другом граду

Позив почиње снимком. Миран глас обавештава вас о сумњивој трансакцији на вашем рачуну и моли да притиснете „1“ ако је нисте ви обавили. Затим се на линији јавља љубазни „службеник банке“: картицу треба хитно блокирати, а за то морате да инсталирате апликацију и прислоните картицу на полеђину телефона. Прислоните је. Истог тренутка, у другом граду, један младић приноси свој телефон банкомату и подиже готовину с ваше картице. Сама картица вам је и даље у руци.

Тако је, судећи по саопштењу полиције Холандије, радила група коју је у октобру 2026. разбило одељење за сајбер-криминал у Ротердаму. За три недеље праћења истражитељи су избројали око 170 оштећених и 380.000 евра штете, и то нису били само пензионери: међу жртвама су десетине људи у двадесетим и тридесетим годинама. Сам трик није нов, стар је бар две године. Нови су били гласови које је направила неуронска мрежа и питање које се за њима вуче: ко ће човеку вратити новац ако је картицу на телефон прислонио сам?

Картица продужена преко интернета

Бесконтактно плаћање почива на NFC-у: то је радио-веза на растојању од неколико центиметара. Терминал или банкомат шаље картици упит, чип у картици одговара, и по том одговору банка зна да је картица права. Цела заштита почива на простој физици: ако је чип одговорио, картица је ту.

Преварантска апликација ту физику изиграва. Она чита одговоре чипа преко NFC модула на телефону жртве и преко сервера их шаље на други телефон, саучеснику. Он прислони свој смартфон на банкомат, и банкомат „види“ картицу која лежи на другом крају земље. Поједностављено, картица се не копира, него продужава: између чипа и банкомата развлачи се невидљива жица дугачка десетинама километара.

Холандска полиција то описује овако: док је жртва притискала картицу уз телефон, „пинер“ с истом апликацијом већ је чекао код банкомата или платног терминала. Pinnen на холандском значи „подизати готовину“, одатле и надимак саучесника који узима новац. Новац је одлазио у хиљадама евра, а људи ништа нису примећивали. Како је група сазнавала ПИН, полиција у саопштењу не наводи. Њен портпарол је рекао телевизији RTL Nieuws да ПИН понекад није ни потребан, али није прецизирао о којим трансакцијама је реч. У сличној чешкој шеми жртве су га укуцавале право у апликацију. Зато полиција понавља три ствари које банка никада неће тражити: да преузмете апликацију, да прислоните картицу на телефон и да кажете ПИН.

Играчка из универзитетске лабораторије

Овај напад има академско педигре. На Техничком универзитету у Дармштату студенти лабораторије за мобилне мреже написали су за истраживаче NFCGate, апликацију отвореног кода за Android. Она пресреће, снима и прослеђује NFC сигнал између два уређаја, како би се протоколи бесконтактне везе проверили на издржљивост. У опису пројекта аутори изричито моле да се алат не користи у зле сврхе.

Молба није помогла. У августу 2024. истраживачи компаније ESET описали су NGate, први познати злонамерни програм заснован на NFCGate-у. Клијентима три чешке банке стизали су SMS-ови о повраћају пореза. Човек би затим инсталирао лажну банкарску апликацију, унео ПИН и прислонио картицу на телефон. У марту 2024. полиција је у Прагу ухапсила двадесетдвогодишњака који је подизао новац на банкоматима. Код њега је пронађено 160.000 круна (око 6000 евра), а то је, према полицији, био новац само три последње жртве.

Онда је шема кренула у серијску производњу. У првој половини 2025. ESET је забележио више од 35 пута више NFC напада него у другој половини 2024. У пролеће 2025. у Италији је откривен SuperCard X: исти трик, само на претплату. Продаван је преко Telegram канала, а „клијентима“ је следовала и корисничка подршка. Испало је иронично: аутори NFCGate-а сада у опису пројекта упозоравају да антивирусни програми њихов истраживачки алат грешком проглашавају за NGate.

Глас који звучи као банка

Ротердамска група је старој техници додала нешто ново: глас. Уз помоћ вештачке интелигенције преваранти су озвучили десетине снимака различитим гласовима у име различитих банака и компанија. Неуронска мрежа им је дала размере: мала група звучала је као мноштво организација, свака са својим гласом, и није морала да тражи ниједног спикера. Аутоматски позив с избором тастера личи на обично обавештење неког сервиса, па притисак на „1“ не делује опасно. Затим би се на линији јавио жив човек: читао је по сценарију и пожуривао.

„Ово више није преварант на вратима, већ убедљив саговорник који звучи веома професионално“, рекао је Рубен ван Вел из одељења за сајбер-криминал у Ротердаму. Према његовим речима, истражитељи раније нису наилазили на такву техничку шему.

Подмуклост шеме је у томе што личи на заштиту. У холандском рачунарском клубу HCC примећују: картица не напушта руку, и човеку се чини да чува свој рачун. Притиснути „1“, инсталирати апликацију, прислонити картицу: сваки корак изгледа као мера безбедности, а не као ризик.

Банке су приметиле нагли пораст средином септембра, а 6. октобра полиција је ухапсила двојицу: двадесеттрогодишњег наводног организатора и двадесетпетогодишњег координатора. Обојица су у притвору, њихова кривица није доказана, пресуде нема.

Ко ће вратити новац

За оштећеног оно најтеже почиње после позива. Банка може да каже: сами сте инсталирали апликацију и сами прислонили картицу, то је крајња непажња. Холандске банке све чешће тако и одговарају. Према подацима Холандског удружења банака (NVB), банке су 2021. жртвама лажне корисничке подршке надокнађивале 92% штете, а 2024. само 48%. Оштећених је 2025. било скоро 5900, а заједно су изгубили скоро 26 милиона евра.

Петнаестог октобра 2026. у ту рачуницу умешао се Суд Европске уније. Трик у његовом предмету био је другачији, али спор исти: банка је одбила, позивајући се на непажњу клијента. Предмет C-70/25 почео је у Пољској. Жена је продавала ствар на сајту за огласе, „купац“ јој је послао линк наводно ради потврде посла, и она је унела податке за интернет банкарство на лажној страници. С рачуна је отишло око 700 евра. Сутрадан је пријавила банци, али новац јој није враћен: по мишљењу банке, сама је крива.

Суд ЕУ је одлучио да тако не може и променио редослед корака.

Суд је логику објаснио отворено: ако банка може одмах да одбије, обавеза хитног повраћаја новца губи смисао, а клијент би морао сам да иде на суд, с трошковима и муком. Одлука обавезује судове свих земаља ЕУ, али конкретни пољски спор решиће пољски суд. Правило се односи на трансакције које клијент није одобрио, на пример када туђ човек подиже готовину на банкомату. Ако је, пак, човек по диктату преваранта сам пребацио новац на „сигуран рачун“, то се по правилу сматра одобреним плаћањем и хитан повраћај му не следује аутоматски.

Ако је новац већ отишао, из одлуке следи једноставан редослед. Задужење које нисте одобрили пријавите банци одмах: суд брзу пријаву наводи као услов за повраћај. После тога банка у ЕУ мора да врати новац до краја следећег радног дана, а непажњу клијента може да доказује тек касније. Ако се банка противи, позовите се на одлуку у предмету C-70/25.

У NVB-у, како пише холандска штампа, сматрају да одлука мења рок повраћаја, а не то ко ће на крају сносити губитак. Делимично је то тачно. Али редослед је важан: једно је месецима чекати и судити се за свој новац, а друго добити га сутрадан и гледати да ли ће се банка усудити да доказује кривицу.

Шта се сматра непажњом

Ту почиње следећи спор. Накнадно гледано, прислонити картицу на телефон на молбу „банке“ делује наивно, али до пре пар година за такав трик скоро нико није чуо. Холандски финансијски омбудсман Kifid у пролеће 2026. позвао је банке да сумње чешће тумаче у корист клијента: преваранти раде превише вешто.

За шему с банкоматом први корак је сада јасан, други није. Судови још нису одговорили на главно питање. Може ли се крајњом непажњом назвати поверење у глас који је неуронска мрежа учинила сличним вашој банци и у молбу какву је холандска полиција у таквом облику срела први пут?