O schemă de fraudă care combina apeluri telefonice înșelătoare, mesaje audio generate cu inteligență artificială și datele NFC ale cardurilor bancare ar fi provocat pierderi de peste 380.000 de euro în Țările de Jos. Poliția olandeză spune că 170 de persoane au fost păgubite, iar doi bărbați suspectați de organizarea operațiunii au fost arestați pe 6 octombrie.
Mesajul automat pregătea terenul pentru impostor
Atacatorii sunau potențiale victime și redau în apel înregistrări audio create cu ajutorul AI. Mesajele pretindeau că s-a observat o activitate suspectă în contul bancar al persoanei contactate și imitau mai multe bănci, companii și scenarii, potrivit informațiilor publicate de poliția olandeză și relatate de SecurityWeek.
Înregistrarea le cerea celor sunați să apese tasta „1” dacă nu erau responsabili pentru tranzacțiile presupus suspecte. După aceea, apelul era pus în așteptare, construind impresia că victima fusese preluată de un serviciu de asistență și că urmează să vorbească cu un reprezentant al băncii.
Apoi intervenea unul dintre suspecți, care se prezenta drept angajat al instituției financiare. Acesta le spunea victimelor că le-a fost blocat cardul de debit și le îndruma să descarce o aplicație, apoi să apropie cardul de telefon pentru o presupusă verificare sau scanare.
Sursă foto: AI### Datele NFC ajungeau la un bancomat
Aplicația obținea informații de pe cipul NFC al cardului, folosit pentru plățile contactless, iar datele erau trimise unui complice care aștepta la un bancomat, cu aplicația pregătită. Potrivit anchetatorilor, această etapă permitea retragerea banilor din conturile victimelor.
Descrierea publică a cazului nu precizează ce date anume extrăgea aplicația, cum erau transmise sau ce mecanism tehnic era folosit la bancomat. Prin urmare, nu se poate stabili din informațiile disponibile dacă atacatorii clonau cardurile, retransmiteau datele în timp real ori foloseau o altă metodă; elementul confirmat este legătura dintre scanarea NFC și retragerile de numerar.
Poliția estimează că schema a vizat 170 de persoane, de toate vârstele, și a generat un prejudiciu de peste 380.000 de euro, echivalentul a aproximativ 425.600 de dolari. Cazul arată cum o tehnică de inginerie socială poate transforma o funcție obișnuită a telefonului într-o etapă a fraudei, fără ca victima să înțeleagă ce date transmite.
Doi suspecți, servere și dispozitive confiscate
Cei doi bărbați arestați sunt un tânăr de 23 de ani din Vaassen și un bărbat de 25 de ani din Ede. Anchetatorii cred că primul ar fi construit infrastructura folosită în schemă și ar fi coordonat atacurile, în timp ce al doilea ar fi avut un rol de coordonare.
În cursul anchetei, autoritățile au scos din funcțiune și au confiscat serverele atribuite suspecților, precum și telefoanele și laptopurile acestora. Măsura ar putea ajuta la reconstruirea comunicațiilor și a fluxului de date, însă poliția nu a făcut publice detalii despre infrastructură, aplicație sau eventuale alte persoane implicate.
Ambii suspecți se află în arest preventiv pe durata cercetărilor, iar acuzațiile nu au fost stabilite definitiv de o instanță. Rolurile descrise de anchetatori sunt, în această etapă, ipoteze ale investigației, nu concluzii judiciare; autoritățile nu au comunicat nici perioada în care s-ar fi desfășurat toate fraudele.
Lecții pentru utilizatorii și băncile din România și UE
Metoda se poate replica oriunde există servicii bancare telefonice și plăți contactless, dar relatarea nu indică faptul că victimele sau instituțiile din România ar fi fost vizate. Pentru utilizatori, semnalul de alarmă este solicitarea de a instala o aplicație și de a apropia cardul de telefon în urma unui apel nesolicitat, chiar dacă mesajul pare să provină de la bancă.
O bancă nu ar trebui verificată prin numărul oferit de apelant sau printr-un link primit în timpul convorbirii. În cazul unei alerte, clientul poate închide apelul și poate contacta instituția folosind numărul de pe card ori din aplicația oficială; nu trebuie să instaleze aplicații la indicația unui necunoscut și nici să furnizeze coduri, parole sau date de autentificare.
Pentru bănci și instituții financiare din România și UE, apărarea trebuie să combine educarea clienților cu detectarea tranzacțiilor neobișnuite și proceduri clare de raportare a fraudelor. Echipele de securitate ar trebui să urmărească tipare precum retrageri repetate după contacte telefonice suspecte și să analizeze rapid sesizările privind aplicații care cer apropierea cardului de telefon.
Sursă foto: AI
