Karta qoʻlingizda qoldi, pul esa uzoqdagi bankomatdan yechildi

Qoʻngʻiroq yozib olingan ovoz bilan boshlanadi. Xotirjam ovoz hisobingizda shubhali harakat sezilganini aytadi va agar uni siz tasdiqlamagan boʻlsangiz, 1 ni bosishingizni soʻraydi. Keyin liniyaga xushmuomala “bank xodimi” chiqadi. Kartangizni zudlik bilan bloklash kerak, deydi u, shuning uchun mana bu ilovani oʻrnating va kartani telefoningizning orqa tomoniga tutib turing. Siz shunday qilasiz. Xuddi shu daqiqada boshqa shaharda bir yigit oʻz telefonini bankomatga tutadi va hali ham qoʻlingizda turgan kartangizdan naqd pul yechib oladi.

Niderlandiya politsiyasi maʼlumotiga koʻra, bir guruh aynan shu sxema boʻyicha ishlagan, toki 2026-yil oktabrida Rotterdam kiberjinoyatlar boʻlimi uni fosh qilmaguncha. Tergovchilar guruhni kuzatgan uch hafta ichida taxminan 170 jabrlanuvchi va 380 000 yevro zarar sanalgan, va ular faqat nafaqaxoʻrlar emas edi: oʻnlab jabrlanuvchilar yigirma va oʻttiz yoshlarda edi. Hiylaning oʻzi kamida ikki yillik. Yangisi — sunʼiy intellekt yaratgan ovozlar va ular ortidan sudralib kelgan savol: oʻz kartasini oʻz telefoniga oʻzi tutgan odamga pulni kim qaytaradi?

Internet orqali choʻzilgan karta

Kontaktsiz toʻlov NFC asosida ishlaydi — bu bir necha santimetr masofada ishlaydigan radioaloqa. Terminal yoki bankomat kartaga soʻrov yuboradi, chip javob beradi va shu javob bankka karta haqiqiy ekanini bildiradi. Hammasi oddiy fizikaga tayanadi: chip javob berayotgan boʻlsa, demak karta shu yerda.

Firibgarlik ilovasi aynan shu fizikani aldaydi. U chipning javoblarini jabrlanuvchi telefonidagi NFC antenna orqali oʻqiydi va server orqali sherikning qoʻlidagi ikkinchi telefonga uzatadi. Sherik bu telefonni bankomatga tegizadi va mashina aslida mamlakatning narigi chekkasida turgan kartani “koʻradi”. Karta nusxalanmaydi, balki uzaytiriladi: chip bilan bankomat oʻrtasida oʻnlab kilometrlik koʻrinmas kabel tortiladi.

Niderlandiya politsiyasi bu uzatishni shunday tasvirlaydi. Jabrlanuvchi kartani telefonga bosib turgan paytda, xuddi shu ilovaga ega “pinner” bankomat yoki toʻlov terminali yonida kutib turgan. (Niderland tilidagi pinnen feʼli naqd pul yechishni bildiradi, pulni olib ketadigan sherikning nomi ham shundan.) Minglab yevro chiqib ketdi, jabrlanuvchilar esa buni sezmadi. Politsiya bayonotida guruh PIN-kodlarni qanday qoʻlga kiritgani aytilmagan. Politsiya matbuot kotibi RTL Nieuws telekanaliga aytishicha, baʼzan PIN umuman kerak boʻlmaydi, biroq u qaysi tranzaksiyalarni nazarda tutganini aytmadi. Chexiyadagi shunga oʻxshash sxemada jabrlanuvchilar uni toʻgʻridan-toʻgʻri ilovaga kiritgan. Shuning uchun politsiya bankingiz hech qachon soʻramaydigan uch narsani qayta-qayta takrorlaydi: ilova yuklab olish, kartani telefonga tutish va PIN-kodni aytish.

Universitet laboratoriyasida tugʻilgan

Bu hujumning ilmiy shajarasi bor. Germaniyadagi Darmshtadt texnika universitetining Secure Mobile Networking Lab laboratoriyasi talabalari NFCGate ni yaratgan — bu ikki qurilma oʻrtasida NFC signallarini ushlab oladigan, yozib boradigan va uzatadigan ochiq kodli Android ilovasi. Uning vazifasi — tadqiqotchilarga kontaktsiz protokollarni sinovdan oʻtkazishda yordam berish. Loyiha sahifasida odamlardan undan yomon niyatda foydalanmaslik ochiq-oydin soʻraladi.

Hamma ham quloq solmadi. 2024-yil avgustida ESET xavfsizlik kompaniyasi tadqiqotchilari NFCGate asosida yaratilgan birinchi maʼlum zararli dastur — NGate ni tasvirlab berdi. Uchta chex banki mijozlariga soliq qaytarilishi haqida SMS kelgan; soʻng jabrlanuvchilar soxta bank ilovasini oʻrnatib, PIN-kodini kiritgan va kartasini telefonga tutgan. 2024-yil martida Praga politsiyasi bankomatlardan naqd pul yechib yurgan 22 yoshli yigitni hibsga oldi. Uning yonidan 160 000 chex kronasi (taxminan 6 000 yevro) topilgan, politsiya maʼlumotiga koʻra, bu faqat oxirgi uch jabrlanuvchining puli edi.

Shundan keyin sxema ommaviy ishlab chiqarishga oʻtdi. 2025-yilning birinchi yarmida ESET 2024-yilning ikkinchi yarmidagiga qaraganda 35 baravardan koʻproq NFC hujumlarini qayd etdi. Oʻsha bahorda Italiyadagi tadqiqotchilar SuperCard X ni topdi — xuddi shu hiyla Telegram kanallari orqali obuna shaklida, hatto mijozlarni qoʻllab-quvvatlash xizmati bilan sotilardi. NFCGate mualliflari esa endi loyiha sahifasida antiviruslar ularning tadqiqot vositasini tez-tez NGate deb adashtirayotganini qayd etib qoʻyishgan.

Bankingizga oʻxshagan ovoz

Rotterdam guruhi eski usulga bitta yangi ingredient qoʻshdi: ovoz. Firibgarlar sunʼiy intellekt yordamida turli ovozlarda oʻnlab yozuvlar tayyorlab, oʻzlarini turli banklar va kompaniyalar deb koʻrsatgan. Sunʼiy intellekt ularga koʻlam berdi: bitta kichik guruh bitta ham diktor yollamasdan, har biri oʻz ovoziga ega koʻplab turli tashkilotlar boʻlib gapira oldi. Menyuli avtomatik qoʻngʻiroq oddiy xizmat xabaridek eshitiladi, 1 ni bosish esa xavfli tuyulmaydi. Keyin liniyaga tirik odam chiqib, shoshilinchlik hissini uygʻotish uchun yozilgan ssenariy boʻyicha ishlagan.

“Bu endi eshik oldidagi firibgar emas, balki oʻta professional taassurot qoldiradigan ishonarli suhbatdosh”, — dedi Rotterdam kiberjinoyatlar boʻlimidan Ruben van Vell. Uning qoʻshimcha qilishicha, tergovchilar bunday texnik usulni avval hech qachon koʻrmagan.

Sxemani xavfli qiladigan narsa — u himoyadek tuyuladi. Kartangiz qoʻlingizdan chiqmaydi, shuning uchun hisobingizni xavfsiz saqlayapman deb oʻylaysiz, — deb taʼkidlaydi Niderlandiyaning kompyuter foydalanuvchilari klubi HCC. 1 ni bosish, ilovani oʻrnatish, kartani tutib turish: har bir qadam xavf emas, xavfsizlik chorasidek koʻrinadi.

Banklar sentabr oʻrtalarida keskin oʻsishni payqadi, 6-oktabrda esa politsiya ikki erkakni hibsga oldi: sxema tashkilotchisi deb gumon qilinayotgan 23 yoshli va uni muvofiqlashtirganlikda gumon qilinayotgan 25 yoshli. Ikkalasi ham qamoqda, hech biri hukm qilinmagan.

Pulni kim qaytaradi

Jabrlanuvchilar uchun asl muammo qoʻngʻiroqdan keyin boshlanadi. Bank shunday deyishi mumkin: ilovani siz oʻrnatdingiz, kartani siz tutdingiz, demak bu qoʻpol ehtiyotsizlik. Niderlandiya banklari buni tobora koʻproq aytmoqda. Niderlandiya banklar assotsiatsiyasi (NVB) maʼlumotiga koʻra, banklar soxta bank yordam xizmati firibgarligidan koʻrilgan zararning 2021-yilda 92 foizini, 2024-yilda esa atigi 48 foizini qoplagan. 2025-yilda qariyb 5 900 jabrlanuvchi jami qariyb 26 million yevro yoʻqotgan.

2026-yil 15-oktabrda bu hisob-kitobga Yevropa Ittifoqi Adliya sudi aralashdi. Uning ishidagi hiyla boshqacha edi, lekin kurash xuddi shu: bank mijozning beparvoligini roʻkach qilib, pulni qaytarishdan bosh tortgan. C-70/25 ishi Polshada boshlangan. Bir ayol onlayn savdo maydonchasida nimadir sotayotgan edi; “xaridor” unga goʻyo sotuvni tasdiqlash uchun havola yubordi va ayol soxta sahifaga internet-banking login maʼlumotlarini kiritdi. Hisobidan taxminan 700 yevro chiqib ketdi. U ertasi kuni xabar berdi, ammo bank pulni qaytarmadi: uning fikricha, ayol faqat oʻzidan koʻrishi kerak edi.

Sud qaror qildi: bunday qilish mumkin emas — va voqealar tartibini teskari aylantirdi.

Sudning mantigʻi oddiy edi: agar banklar boshidanoq rad eta olsa, pulni darhol qaytarish majburiyati maʼnosiz boʻlib qoladi. Mijozlar butun xarajat va ovoragarchilik bilan oʻzlari sudga borishga majbur boʻladi. Qaror butun YIdagi sudlar uchun majburiy, garchi Polshadagi nizoning oʻzini Polsha sudi hal qilsa ham. U mijoz ruxsat bermagan tranzaksiyalarga, masalan, begona odam bankomatdan naqd pul yechib olgan holatlarga tegishli. Agar jabrlanuvchi firibgar koʻrsatmasiga amal qilib, pulni oʻzi “xavfsiz hisob”ga oʻtkazsa, bu odatda ruxsat berilgan toʻlov hisoblanadi va darhol qaytarish avtomatik emas.

Agar pul allaqachon ketgan boʻlsa, qaror oddiy ketma-ketlikni taklif qiladi. Ruxsatsiz tranzaksiya haqida bankingizga darhol xabar bering, chunki sud tezkor xabar berishni pulni qaytarish sharti qilib qoʻyadi. YIda bank shundan keyin pulni keyingi ish kunining oxirigacha qaytarishi shart, beparvoligingiz haqida esa keyinroq bahslashishi mumkin; tayanish kerak boʻlgan hujjat — C-70/25 ishi boʻyicha qaror.

Niderlandiya OAVning xabar berishicha, NVBning pozitsiyasi shunday: qaror pul qachon qaytarilishini oʻzgartiradi, zararni oxir-oqibat kim koʻtarishini emas. Bu qisman toʻgʻri. Ammo vaqt muhim. Oylab kutish va oʻz pulingiz uchun sudlashish bir narsa; pulni ertasi kuni qaytarib olib, bank aybingizni isbotlashga urinarmikan deb kuzatib turish esa butunlay boshqa narsa.

Nima beparvolik hisoblanadi

Keyingi kurash aynan shu yerda boʻladi. “Bank” soʻragani uchun kartani telefonga tutish ortga qaraganda soddalikdek koʻrinadi, ammo bir-ikki yil oldin bu hiyla haqida deyarli hech kim eshitmagan edi. 2026-yil bahorida Niderlandiyaning moliyaviy shikoyatlar boʻyicha organi Kifid banklarni chaqirdi: jinoyatchilar jabrlanuvchilarni koʻndirishda shunchalik mohirki, mijozlarga shubha foydasini tez-tez berish kerak.

Bankomat sxemasida birinchi qadam endi aniq, ikkinchisi esa yoʻq. Asl savolga hali hech bir sud javob bermagan: bankingizga oʻxshab eshitilishi uchun yaratilgan ovozga, Niderlandiya politsiyasi bu shaklda avval hech qachon koʻrmagan iltimos bilan murojaat qilgan ovozga ishonish qoʻpol ehtiyotsizlikmi?