Картка лишилася в руці, а гроші зняли в банкоматі в іншому місті

Дзвінок починається із запису. Рівний голос повідомляє про підозрілу операцію на вашому рахунку й просить натиснути «1», якщо ви її не здійснювали. Далі на лінії ввічливий «працівник банку»: картку треба терміново заблокувати, а для цього — встановити застосунок і прикласти її до задньої кришки телефона. Ви прикладаєте. Тієї ж хвилини в іншому місті молодий хлопець підносить свій телефон до банкомата й знімає з вашої картки готівку. А сама картка досі у вас у руці.

Так, судячи з повідомлення поліції Нідерландів, діяла група, яку в жовтні 2026 року накрив відділ кіберзлочинів Роттердама. За три тижні спостереження слідчі нарахували близько 170 потерпілих і €380 000 збитків, і це були не лише пенсіонери: серед жертв десятки двадцяти- й тридцятирічних. Сам прийом не новий, йому щонайменше два роки. Новими виявилися голоси, створені нейромережею, і питання, яке за ними тягнеться: хто поверне гроші людині, якщо картку до телефона вона приклала сама?

Картка, яку подовжили через інтернет

Безконтактна оплата тримається на NFC: це радіозв’язок на відстані кількох сантиметрів. Термінал чи банкомат надсилає картці запит, чип у картці відповідає, і з цієї відповіді банк розуміє, що картка справжня. Уся безпека спирається на просту фізику: раз чип відповів, картка поруч.

Шахрайський застосунок цю фізику обманює. Він зчитує відповіді чипа через NFC-модуль телефона жертви й через сервер пересилає їх на другий телефон — спільникові. Той прикладає свій смартфон до банкомата, і банкомат «бачить» картку, яка лежить на іншому кінці країни. Якщо спростити, картку не копіюють, а подовжують: між чипом і банкоматом простягають невидимий дріт завдовжки в десятки кілометрів.

Нідерландська поліція описує це так: поки жертва притискала картку до телефона, «пінер» із тим самим застосунком уже чекав біля банкомата чи платіжного термінала. Pinnen по-нідерландськи — «знімати готівку», звідси й прізвисько спільника, який забирає гроші. Гроші йшли тисячами євро, а люди нічого не помічали. Як група дізнавалася ПІН-код, поліція в повідомленні не пише. Її представник сказав телеканалу RTL Nieuws, що іноді ПІН-код навіть не потрібен, але про які операції йдеться, не уточнив. У схожій чеській схемі жертви набирали його просто в застосунку. Тож поліція повторює три речі, про які банк не попросить ніколи: завантажити застосунок, прикласти картку до телефона й назвати ПІН-код.

Іграшка з університетської лабораторії

Ця атака має академічний родовід. У Технічному університеті Дармштадта студенти лабораторії мобільних мереж написали для дослідників NFCGate — відкритий застосунок для Android. Він перехоплює, записує й пересилає NFC-сигнал між двома пристроями, щоб перевіряти протоколи безконтактного зв’язку на міцність. В описі проєкту автори прямо просять не використовувати його на зло.

Прохання не допомогло. У серпні 2024 року дослідники ESET описали NGate — першу відому шкідливу програму на основі NFCGate. Клієнтам трьох чеських банків приходили SMS про повернення податків. Далі людина встановлювала підроблений банківський застосунок, вводила ПІН-код і прикладала картку до телефона. У березні 2024 року поліція затримала в Празі 22-річного хлопця, який знімав гроші в банкоматах. При ньому знайшли 160 000 крон (близько €6000) — як повідомила поліція, гроші лише трьох останніх жертв.

Далі схема пішла в тираж. У першій половині 2025 року ESET нарахувала у 35 з лишком разів більше NFC-атак, ніж у другій половині 2024-го. Навесні 2025 року в Італії знайшли SuperCard X: той самий прийом, тільки за передплатою. Його продавали через Telegram-канали, а «клієнтам» належала служба підтримки. Вийшло іронічно: тепер автори NFCGate попереджають в описі проєкту, що антивіруси помилково сприймають їхній дослідницький інструмент за NGate.

Голос, що звучить як банк

Роттердамська група додала до старої техніки нове: голос. За допомогою ШІ шахраї озвучили десятки записів різними голосами від імені різних банків і компаній. Нейромережа дала їм масштаб: невелика група звучала як безліч організацій, у кожної свій голос, і жодних дикторів шукати не довелося. Автоматичний дзвінок із вибором кнопки схожий на звичайну розсилку сервісу, і натиснути «1» не здається небезпечним. Далі на лінії з’являлася жива людина: вона читала за сценарієм і квапила.

«Це вже не шахрай під дверима, а переконливий співрозмовник, який звучить дуже професійно», — сказав Рубен ван Велл із відділу кіберзлочинів Роттердама. За його словами, такої технічної схеми слідчі раніше не зустрічали.

Підступність схеми в тому, що вона схожа на захист. У нідерландському комп’ютерному клубі HCC зауважують: картка не залишає рук, і людині здається, що вона береже свій рахунок. Натиснути «1», встановити застосунок, прикласти картку: кожен крок виглядає заходом безпеки, а не ризиком.

Банки помітили сплеск у середині вересня, а 6 жовтня поліція затримала двох: 23-річного ймовірного організатора і 25-річного координатора. Обидва під вартою, їхню провину не доведено, вироку немає.

Хто поверне гроші

Для потерпілого найважче починається після дзвінка. Банк може сказати: ви самі встановили застосунок і самі приклали картку, це груба недбалість. Нідерландські банки дедалі частіше саме так і відповідають. За підрахунками Нідерландської асоціації банків (NVB), у 2021 році жертвам фальшивої служби підтримки банки відшкодовували 92% збитків, а у 2024-му лише 48%. Потерпілих у 2025 році було майже 5900, разом вони втратили майже €26 млн.

15 жовтня 2026 року в цю арифметику втрутився Суд Європейського Союзу. Хитрість у його справі була інша, а суперечка та сама: банк відмовив, пославшись на недбалість клієнтки. Справа C-70/25 почалася в Польщі. Жінка продавала річ на сайті оголошень, «покупець» надіслав посилання нібито для підтвердження угоди, і вона ввела дані інтернет-банку на підробленій сторінці. З рахунку пішло близько €700. Наступного дня вона повідомила банк, але гроші їй не повернули: на думку банку, вона сама винна.

Суд ЄС вирішив, що так не можна, і змінив порядок дій.

Логіку суд пояснив прямо: якщо банк зможе відмовляти одразу, обов’язок повернути гроші негайно втратить сенс, а клієнтові доведеться самому йти до суду, з витратами й клопотами. Рішення обов’язкове для судів усіх країн ЄС, але конкретну польську суперечку вирішить польський суд. Правило стосується операцій, яких клієнт не дозволяв, — наприклад, коли чужа людина знімає готівку в банкоматі. Якщо ж людина під диктовку шахрая сама переказала гроші на «безпечний рахунок», це, як правило, вважається дозволеним платежем, і негайне повернення їй автоматично не належить.

Якщо гроші вже пішли, з рішення випливає простий порядок. Повідомити банк про списання, якого ви не дозволяли, треба одразу: швидке повідомлення суд називає умовою повернення. Після цього банк у ЄС зобов’язаний повернути гроші до кінця наступного робочого дня, а доводити недбалість клієнта може вже потім. Якщо банк сперечається, пошліться на рішення у справі C-70/25.

У NVB, як пише нідерландська преса, вважають, що рішення змінює строк повернення, а не те, на кому зрештою опиняться збитки. Почасти це правда. Але порядок важливий: одна річ — чекати місяцями й судитися за власні гроші, інша — отримати їх наступного дня й дивитися, чи наважиться банк доводити провину.

Що вважати недбалістю

Саме тут і почнеться наступна суперечка. Заднім числом прикласти картку до телефона на прохання «банку» здається наївним, але ще кілька років тому про такий трюк майже ніхто не чув. Нідерландський фінансовий омбудсмен Kifid навесні 2026 року закликав банки частіше тлумачити сумніви на користь клієнта: шахраї діють надто вміло.

Для схеми з банкоматом перший крок тепер зрозумілий, другий — ні. Суди поки не відповіли на головне питання. Чи можна назвати грубою недбалістю довіру до голосу, який нейромережа зробила схожим на ваш банк, і до прохання, яке нідерландська поліція в такому вигляді зустріла вперше?