Kortet lämnade aldrig din hand, men pengarna gick ut i en bankomat långt bort

Samtalet börjar med en inspelning. En lugn röst meddelar att det finns misstänkt aktivitet på ditt konto och ber dig trycka 1 om det inte var du. Sedan kopplas en artig ”banktjänsteman” in. Kortet måste spärras direkt, säger han, så installera den här appen och håll kortet mot baksidan av telefonen. Du gör som han säger. I samma ögonblick, i en annan stad, håller en ung man upp sin egen telefon mot en bankomat och tar ut kontanter från ditt kort, som fortfarande ligger i din hand.

Så såg upplägget ut enligt nederländsk polis, som säger att en liga körde det tills Rotterdams it-brottsenhet slog till i oktober 2026. Under de tre veckor utredarna följde ligan räknade de till omkring 170 offer och 380 000 euro i förluster, och det var inte bara pensionärer: tiotals var i tjugo- och trettioårsåldern. Själva tricket är minst två år gammalt. Det nya är de AI-genererade rösterna, och frågan de drar med sig: vem ersätter någon som själv höll sitt eget kort mot sin egen telefon?

Ett kort som sträcks ut över internet

Kontaktlös betalning bygger på NFC, en radiolänk som fungerar på några centimeters avstånd. Terminalen eller bankomaten skickar en fråga till kortet, chipet svarar, och svaret talar om för banken att kortet är äkta. Allt vilar på enkel fysik: svarar chipet måste kortet finnas precis där.

Bedrägeriappen fuskar med den fysiken. Den läser chipets svar via NFC-antennen i offrets telefon och skickar dem vidare, via en server, till en andra telefon i medhjälparens hand. Medhjälparen håller den telefonen mot en bankomat, och maskinen ”ser” ett kort som i själva verket befinner sig i andra änden av landet. Kortet kopieras inte så mycket som förlängs: en osynlig kabel, flera mil lång, löper mellan chipet och uttagsautomaten.

Nederländsk polis beskriver överlämningen. Medan offret höll kortet mot telefonen stod redan en ”pinner” med samma app och väntade vid en bankomat eller en betalterminal. (Det nederländska verbet pinnen betyder att ta ut kontanter, därav namnet på medhjälparen som hämtar pengarna.) Tusentals euro försvann, och offren märkte ingenting. Polisens pressmeddelande säger inte hur ligan kom åt pinkoderna. En polistalesperson sa till tv-kanalen RTL Nieuws att det ibland inte ens behövs någon pinkod, utan att precisera vilka transaktioner han menade. I ett liknande tjeckiskt upplägg skrev offren in den direkt i appen. Därför upprepar polisen gång på gång tre saker som banken aldrig kommer att be dig om: att ladda ner en app, att hålla kortet mot telefonen eller att lämna ut din pinkod.

Född i ett universitetslabb

Attacken har ett akademiskt släktträd. Studenter vid Secure Mobile Networking Lab på Tekniska universitetet i Darmstadt i Tyskland byggde NFCGate, en Android-app med öppen källkod som fångar upp, spelar in och vidarebefordrar NFC-signaler mellan två enheter. Den ska hjälpa forskare att sätta kontaktlösa protokoll på prov. Projektsidan ber uttryckligen användarna att inte använda den i skadligt syfte.

Alla lyssnade inte. I augusti 2024 beskrev forskare på säkerhetsföretaget ESET NGate, den första kända skadliga programvaran byggd på NFCGate. Kunder hos tre tjeckiska banker fick sms om en skatteåterbäring; offren installerade sedan en falsk bankapp, angav sin pinkod och höll kortet mot telefonen. I mars 2024 grep polisen i Prag en 22-åring som hade tagit ut kontanter i bankomater. Han hade 160 000 tjeckiska kronor (omkring 6 000 euro) på sig, pengar som enligt polisen kom från bara de tre senaste offren.

Sedan gick upplägget i massproduktion. Under första halvåret 2025 registrerade ESET mer än 35 gånger så många NFC-attacker som under andra halvåret 2024. Samma vår hittade forskare i Italien SuperCard X, samma trick sålt som prenumeration via Telegramkanaler, komplett med kundtjänst. NFCGates upphovspersoner skriver numera på sin projektsida att antivirusprogram gång på gång förväxlar deras forskningsverktyg med NGate.

En röst som låter som din bank

Rotterdamligan lade till en enda ny ingrediens i den gamla tekniken: rösten. Bedragarna använde AI för att ta fram dussintals inspelningar med olika röster, där de utgav sig för att vara olika banker och företag. Det AI gav dem var skala: en liten liga kunde låta som många olika organisationer, var och en med sin egen röst, utan att anlita en enda röstskådespelare. Ett automatiskt samtal med knappval låter som ett vanligt servicemeddelande, och att trycka 1 känns inte riskabelt. Sedan tog en levande människa över, med ett manus byggt för att skapa brådska.

”Det är inte längre en bedragare vid dörren, utan en övertygande uppringare som framstår som extremt professionell”, sa Ruben van Well vid Rotterdams it-brottsenhet. Han tillade att utredarna aldrig tidigare hade sett den här tekniska metoden.

Det som gör upplägget farligt är att det känns som skydd. Kortet lämnar aldrig dina händer, så du tror att du håller kontot säkert, påpekar HCC, en nederländsk förening för datoranvändare. Trycka 1, installera appen, hålla upp kortet: varje steg ser ut som en säkerhetsåtgärd, inte som en risk.

Bankerna märkte en topp i mitten av september, och den 6 oktober grep polisen två män: en 23-åring som misstänks vara hjärnan bakom upplägget och en 25-åring som misstänks ha samordnat det. Båda sitter häktade; ingen av dem har dömts.

Vem betalar tillbaka

För offren börjar de verkliga problemen efter samtalet. Banken kan säga: du installerade appen och du höll upp kortet, alltså är det grov oaktsamhet. Nederländska banker säger det allt oftare. Bankerna ersatte 92 % av förlusterna från falska bankhelpdesk-bedrägerier 2021 och bara 48 % 2024, enligt den nederländska bankföreningen NVB. År 2025 förlorade nästan 5 900 offer närmare 26 miljoner euro sammanlagt.

Den 15 oktober 2026 klev EU-domstolen in i den kalkylen. Tricket i dess mål var ett annat, men striden var densamma: banken vägrade och skyllde på kundens slarv. Mål C-70/25 började i Polen. En kvinna sålde något på en marknadsplats på nätet; en ”köpare” skickade henne en länk, påstått för att bekräfta försäljningen, och hon skrev in sina inloggningsuppgifter till internetbanken på en falsk sida. Omkring 700 euro försvann från hennes konto. Hon anmälde det dagen därpå, men banken vägrade betala tillbaka: enligt banken fick hon skylla sig själv.

Domstolen slog fast att det inte är tillåtet, och vände på ordningen.

Domstolens resonemang var enkelt: om bankerna kunde säga nej från början skulle skyldigheten att ersätta omedelbart bli meningslös. Kunderna skulle själva behöva gå till domstol, med alla kostnader och allt besvär det innebär. Domen binder domstolar i hela EU, även om själva den polska tvisten avgörs av en polsk domstol. Den gäller transaktioner som kunden inte har godkänt, till exempel när en främling tar ut kontanter i en bankomat. Om ett offer följer bedragarens instruktioner och själv flyttar pengar till ett ”säkert konto” räknas det oftast som en godkänd betalning, och då är omedelbar ersättning inte självklar.

Om pengarna redan är borta pekar domen ut en enkel ordning. Anmäl den obehöriga transaktionen till banken direkt, eftersom domstolen gör snabb anmälan till ett villkor för ersättning. Inom EU måste banken då betala tillbaka senast vid slutet av nästa bankdag och kan bråka om ditt slarv i efterhand; domen i mål C-70/25 är den att hänvisa till.

NVB:s hållning är, rapporterar nederländska medier, att domen ändrar när ersättningen sker, inte vem som till slut står för förlusten. Det stämmer delvis. Men tidpunkten spelar roll. Att vänta i månader och stämma banken för sina egna pengar är en sak; att få tillbaka dem nästa dag och se om banken ens bryr sig om att bevisa att du var vållande är en helt annan.

Vad räknas som slarv

Det är där nästa strid kommer att stå. Att hålla kortet mot telefonen för att ”banken” bad om det ser naivt ut i efterhand, men för ett par år sedan hade nästan ingen hört talas om det här tricket. Våren 2026 uppmanade Kifid, den nederländska nämnden för klagomål på finansiella tjänster, bankerna att oftare ge kunderna fördelen av tvivlet, eftersom kriminella är så skickliga på att bearbeta sina offer.

För bankomatupplägget är första steget nu klart, men inte det andra. Ingen domstol har ännu besvarat den verkliga frågan: är det grov oaktsamhet att lita på en röst som genererats för att låta som din bank, när den ber om något som nederländsk polis aldrig tidigare sett i den här formen?