Kart hiç elinizden çıkmadı, ama para uzaktaki bir ATM'den çekildi

Arama bir kayıtla başlıyor. Sakin bir ses hesabınızda şüpheli bir işlem olduğunu söylüyor ve bu işlemi siz yapmadıysanız 1’e basmanızı istiyor. Ardından hatta kibar bir “banka çalışanı” çıkıyor. Kartınızın hemen bloke edilmesi gerektiğini söylüyor, lütfen şu uygulamayı yükleyin ve kartı telefonunuzun arkasına tutun. Dediğini yapıyorsunuz. Tam o anda başka bir şehirde genç bir adam kendi telefonunu bir ATM’ye yaklaştırıyor ve hâlâ sizin elinizde duran karttan para çekiyor.

Hollanda polisine göre bir çete, Rotterdam siber suçlar ekibi Ekim 2026’da onu dağıtana kadar tam olarak bu senaryoyla çalıştı. Müfettişler çeteyi üç hafta boyunca izledi ve bu sürede yaklaşık 170 mağdur ile 380.000 euro kayıp saydı. Mağdurlar yalnızca emekliler de değildi: onlarcası yirmili ve otuzlu yaşlardaydı. Hilenin kendisi en az iki yıllık. Yeni olan, yapay zekâyla üretilmiş sesler ve beraberinde sürükledikleri soru: kendi kartını kendi telefonuna tutan birinin parasını kim geri ödeyecek?

İnternet boyunca uzatılan kart

Temassız ödeme, birkaç santimetrede çalışan bir radyo bağlantısı olan NFC ile işler. Terminal ya da ATM karta bir soru gönderir, çip yanıt verir ve bu yanıt bankaya kartın gerçek olduğunu söyler. Her şey basit bir fiziğe dayanır: çip yanıt veriyorsa kart oradadır.

Dolandırıcılık uygulaması bu fiziği kandırıyor. Çipin yanıtlarını mağdurun telefonundaki NFC anteniyle okuyor ve bir sunucu üzerinden suç ortağının elindeki ikinci telefona iletiyor. Suç ortağı o telefonu ATM’ye dokunduruyor ve makine aslında ülkenin öbür ucundaki bir kartı “görüyor”. Kart kopyalanmıyor, daha çok uzatılıyor: çiple para makinesi arasında onlarca kilometrelik görünmez bir kablo uzanıyor.

Hollanda polisi bu devir teslimi şöyle anlatıyor: mağdur kartı telefona tutarken aynı uygulamayı kullanan bir “pinner” zaten bir ATM’nin ya da ödeme terminalinin başında bekliyordu. (Hollandaca pinnen fiili nakit çekmek demek; parayı toplayan suç ortağının adı da buradan geliyor.) Binlerce euro çekildi ve mağdurlar fark etmedi. Polis açıklaması çetenin PIN kodlarını nasıl ele geçirdiğini söylemiyor. Bir polis sözcüsü RTL Nieuws kanalına bazen PIN’e hiç gerek olmadığını söyledi, ama hangi işlemleri kastettiğini belirtmedi. Çekya’daki benzer bir düzenekte mağdurlar PIN’i doğrudan uygulamaya giriyordu. Bu yüzden polis bankanızın sizden asla istemeyeceği üç şeyi tekrarlayıp duruyor: uygulama indirmek, kartı telefona tutmak ya da PIN’inizi vermek.

Bir üniversite laboratuvarında doğdu

Saldırının akademik bir soy ağacı var. Almanya’daki Darmstadt Teknik Üniversitesi’nin Secure Mobile Networking Lab’inde öğrenciler, iki cihaz arasında NFC sinyallerini yakalayan, kaydeden ve aktaran açık kaynaklı Android uygulaması NFCGate‘i geliştirdi. Amacı araştırmacıların temassız protokolleri zorlayarak test etmesine yardım etmek. Proje sayfası, insanlardan açık açık uygulamayı kötü amaçlarla kullanmamalarını istiyor.

Herkes dinlemedi. Ağustos 2024’te güvenlik şirketi ESET’in araştırmacıları NFCGate üzerine kurulmuş bilinen ilk kötü amaçlı yazılım olan NGate’i anlattı. Üç Çek bankasının müşterilerine vergi iadesiyle ilgili SMS’ler geldi; mağdurlar ardından sahte bir bankacılık uygulaması yükledi, PIN’lerini girdi ve kartlarını telefona tuttu. Mart 2024’te Prag polisi ATM’lerden para çeken 22 yaşında birini yakaladı. Üzerinde 160.000 Çek korunası (yaklaşık 6.000 euro) vardı; polise göre bu para yalnızca son üç mağdurdan gelmişti.

Bundan sonra yöntem seri üretime geçti. 2025’in ilk yarısında ESET, 2024’ün ikinci yarısına göre 35 kattan fazla NFC saldırısı kaydetti. O bahar İtalya’daki araştırmacılar SuperCard X‘i buldu: aynı numara, Telegram kanalları üzerinden abonelikle satılıyordu, üstelik müşteri desteğiyle birlikte. NFCGate’in yazarları ise artık proje sayfalarında antivirüs yazılımlarının araştırma araçlarını sürekli NGate sandığını not düşüyor.

Bankanız gibi konuşan bir ses

Rotterdam çetesi eski tekniğe tek bir yeni malzeme ekledi: ses. Dolandırıcılar yapay zekâyla farklı seslerde onlarca kayıt üretip çeşitli bankalar ve şirketler kılığına girdi. Yapay zekâ onlara ölçek kazandırdı: küçük bir grup, tek bir seslendirme sanatçısı tutmadan her birinin kendi sesi olan pek çok farklı kurum gibi konuşabildi. Menülü otomatik bir arama sıradan bir hizmet mesajı gibi geliyor, 1’e basmak da riskli hissettirmiyor. Sonra aciliyet duygusu yaratmak için yazılmış bir senaryoyla çalışan gerçek bir insan devreye giriyordu.

Rotterdam siber suçlar ekibinden Ruben van Well, “Artık kapıdaki bir dolandırıcı değil, son derece profesyonel görünen ikna edici bir arayan söz konusu” dedi. Müfettişlerin bu teknik yöntemi daha önce hiç görmediğini de ekledi.

Düzeneği tehlikeli kılan şey, koruma gibi hissettirmesi. Hollanda’daki bilgisayar kullanıcıları kulübü HCC’nin belirttiği gibi, kart hiç elinizden çıkmadığı için hesabınızı güvende tuttuğunuzu sanıyorsunuz. 1’e basmak, uygulamayı yüklemek, kartı tutmak: her adım risk değil, güvenlik önlemi gibi görünüyor.

Bankalar eylül ortasında ani bir artış fark etti ve polis 6 Ekim’de iki kişiyi gözaltına aldı: düzeneğin beyni olduğundan şüphelenilen 23 yaşında bir erkek ve onu koordine ettiğinden şüphelenilen 25 yaşında bir erkek. İkisi de tutuklu; hiçbiri mahkûm edilmedi.

Paranızı kim geri ödeyecek

Mağdurlar için asıl dert aramadan sonra başlıyor. Banka şunu diyebilir: uygulamayı siz yüklediniz, kartı siz tuttunuz, bu ağır ihmal. Hollanda bankaları bunu giderek daha sık söylüyor. Hollanda Bankalar Birliği’ne (NVB) göre bankalar sahte banka yardım masası dolandırıcılığından doğan kayıpların 2021’de %92’sini, 2024’te ise yalnızca %48’ini karşıladı. 2025’te yaklaşık 5.900 mağdur toplamda neredeyse 26 milyon euro kaybetti.

15 Ekim 2026’da Avrupa Birliği Adalet Divanı bu hesaba müdahil oldu. Davadaki hile farklıydı ama kavga aynıydı: banka, müşterinin dikkatsizliğini gerekçe göstererek ödemeyi reddetmişti. C-70/25 sayılı dava Polonya’da başladı. Bir kadın çevrimiçi bir pazaryerinde bir şey satıyordu; bir “alıcı” ona güya satışı onaylamak için bir bağlantı gönderdi ve kadın internet bankacılığı giriş bilgilerini sahte bir sayfaya yazdı. Hesabından yaklaşık 700 euro çıktı. Ertesi gün durumu bildirdi, ama banka parayı iade etmedi: bankaya göre suç tamamen kendisindeydi.

Divan bunun yasak olduğuna hükmetti ve olayların sırasını tersine çevirdi.

Divanın gerekçesi açıktı: bankalar baştan reddedebilseydi, derhal iade yükümlülüğünün hiçbir anlamı kalmazdı. Müşteriler bütün masrafı ve zahmetiyle mahkemeye kendileri gitmek zorunda kalırdı. Karar AB’nin her yerindeki mahkemeleri bağlıyor, ancak Polonya’daki uyuşmazlığın kendisini bir Polonya mahkemesi karara bağlayacak. Karar, müşterinin onaylamadığı işlemler için geçerli; örneğin bir yabancının ATM’den para çekmesi gibi. Mağdur dolandırıcının talimatlarına uyup parayı kendisi bir “güvenli hesaba” aktarırsa, bu genellikle onaylanmış ödeme sayılır ve anında iade otomatik değildir.

Para zaten gittiyse, karar basit bir sıra öneriyor. Yetkisiz işlemi hemen bankanıza bildirin, çünkü divan zamanında bildirimi iadenin şartı sayıyor. AB’de banka bundan sonra parayı bir sonraki iş gününün sonuna kadar iade etmek zorunda, dikkatsizliğiniz hakkında tartışmayı sonraya bırakabilir; dayanılacak karar C-70/25 sayılı davadaki karar.

Hollanda medyasının aktardığına göre NVB’nin tutumu, kararın kaybın sonunda kime kalacağını değil, iadenin ne zaman yapılacağını değiştirdiği yönünde. Bu kısmen doğru. Ama zamanlama önemli. Aylarca bekleyip kendi paranız için dava açmak bir şey; parayı ertesi gün geri alıp bankanın kusurlu olduğunuzu kanıtlamaya zahmet edip etmeyeceğini izlemek bambaşka bir şey.

Dikkatsizlik nerede başlıyor

Bir sonraki kavga tam da orada çıkacak. “Banka” istedi diye kartı telefona tutmak geriye dönüp bakınca saflık gibi görünüyor, ama birkaç yıl önce bu numarayı neredeyse kimse duymamıştı. 2026 baharında Hollanda’nın finansal şikâyet kurumu Kifid, suçlular kurbanlarını yönetmekte bu kadar usta olduğu için bankalara müşterilere daha sık şüpheden yararlanma hakkı tanımaları çağrısında bulundu.

ATM düzeneği için ilk adım artık belli, ikincisi değil. Hiçbir mahkeme asıl soruyu henüz yanıtlamadı: Hollanda polisinin bu biçimiyle daha önce hiç görmediği bir istekte bulunan ve bankanız gibi konuşmak üzere üretilmiş bir sese güvenmek ağır ihmal mi?