Схемы мошенников · 20.07.2026
Мошенничество через NFC: как работает схема NFCGate и как вернуть деньги
Мошенники научились снимать деньги с карты, к которой даже не прикасались: жертва устанавливает фейковое приложение «банка» или «Госуслуг», а внутри — программа NFCGate, транслирующая бесконтактный сигнал карты на телефон преступника у банкомата. За январь–октябрь 2025 года компания F6 насчитала не менее 56 000 таких атак с ущербом минимум 1,6 млрд рублей; средний чек — около 100 тысяч. Вернуть деньги можно, но маршрут зависит от версии схемы. Деньги списали без вас — это операция без согласия клиента, банк обязан возместить её по ст. 9 ФЗ-161. Вы сами внесли наличные через банкомат «на безопасный счёт» — банк не поможет, зато поможет суд: номер карты дропа зафиксирован банкоматом, а это готовый иск о неосновательном обогащении (ст. 1102 ГК). Ниже — оба маршрута по шагам.
Коротко
Первые шаги, если попались на NFC-схему
- Переведите телефон в авиарежим и выключите NFC: ретрансляция идёт в реальном времени, её нужно оборвать.
- С другого устройства или по горячей линии заблокируйте карту и запросите выписку по счёту.
- Деньги списали — в тот же день подайте в банк заявление о несогласии с операцией: ст. 9 ФЗ-161 даёт на уведомление время только до конца следующего дня. Полный чек-лист — в разборе первых 24 часов после мошенничества.
- Сами внесли наличные в банкомат — сохраните чек и в тот же день подайте заявление в полицию. Фейковое приложение не удаляйте: это главное доказательство.
Разбор схемы
Как NFCGate превращает телефон в ретранслятор вашей карты
Сам NFCGate — не вирус. Это легальная программа с открытым кодом, которую исследователи Дармштадтского технического университета написали для анализа NFC-трафика. Работает она просто: перехватывает «разговор» между картой и терминалом и пересылает его через интернет на другой телефон. Мошенники взяли эту разработку, модифицировали и зашили внутрь фейковых приложений — «Центробанка», «поддержки оператора», «Госуслуг», «антивируса». Снаружи — знакомый логотип и интерфейс, внутри — ретранслятор.
Техника без магии. Банкомат общается с бесконтактной картой короткими командами: «представься», «подтверди ключ», «подпиши операцию». Карта отвечает — на всё уходят доли секунды. NFCGate вклинивается в этот диалог: команды банкомата летят через интернет на заражённый телефон, тот транслирует их приложенной карте, ответы возвращаются обратно. Банкомат уверен, что карта лежит на его считывателе, хотя на самом деле она в другом городе. Задержка настолько мала, что антифрод её не замечает: с точки зрения банка это обычная бесконтактная операция с правильной картой и правильным ПИН-кодом.
В прямой версии схемы всё выстроено вокруг вашей карты. Звонящий «сотрудник банка» убеждает установить приложение «для защиты счёта» и просит приложить карту к телефону «для проверки», а ПИН ввести «для сверки». В этот момент карта транслируется на телефон сообщника, который уже стоит у банкомата: он прикладывает свой смартфон к считывателю, вводит подсмотренный через приложение ПИН и снимает наличные. Для банка деньги снял «владелец карты» — но не вы.
Обратную (реверс) версию специалисты F6 выявили в марте 2025 года, и она ещё коварнее. Здесь трансляция работает в другую сторону: на ваш заражённый телефон передаётся карта дропа — подставного владельца счёта. Вас убеждают, что деньги «в опасности», и отправляют к банкомату «перевести их на безопасный счёт»: вы снимаете наличные, прикладываете свой телефон к банкомату и вносите деньги. Банкомат видит не вашу карту, а транслируемую карту дропа — и зачисляет наличные ей. Только за март 2025 года F6 зафиксировала более 1000 таких атак со средним ущербом около 100 тысяч рублей.
ущерб от NFCGate-схем только за I квартал 2025 года — около 40 успешных атак каждый день (данные F6).
атак минимум за январь–октябрь 2025 года, общий ущерб — не менее 1,6 млрд рублей.
средний ущерб одной жертвы реверс-версии: примерно столько наличных вносят «на безопасный счёт» за один визит к банкомату.
уголовных дел заведено к создателям и распространителям NFCGate-схем на сумму около 200 млн рублей (данные TAdviser).
Развилка
Какая у вас версия схемы: от этого зависит весь маршрут
Прежде чем писать заявления, ответьте на один вопрос: деньги ушли со счёта без вашего участия — или вы своими руками вносили наличные в банкомат? Юридически это две разные вселенные, и перепутать маршрут — значит потерять недели на заведомо бесполезные заявления.
Есть и смешанные случаи: троян сначала снимает деньги со счёта, потом «дожимает» жертву на внесение наличных. Тогда работают оба маршрута параллельно — по каждой операции свой.
Маршрут 1
Деньги списали через клон карты: банк обязан возместить
Ключевая норма — статья 9 закона № 161-ФЗ «О национальной платёжной системе». Если операция совершена без согласия клиента, банк обязан возместить её сумму — при двух условиях: вы уведомили банк не позднее дня, следующего за днём получения уведомления об операции, и сами не нарушали порядок использования карты, то есть не диктовали коды и не передавали карту. Снятие в банкомате по ретранслированному сигналу — хрестоматийная операция без согласия: распоряжение давали не вы.
Заблокируйте карту и зафиксируйте звонок в банк
Позвоните на горячую линию с другого устройства, заблокируйте карту и продиктуйте: «Операцию не совершал, с ней не согласен, прошу зафиксировать обращение». Запишите номер обращения, дату и время — это и есть ваше уведомление «не позднее следующего дня». Подробный порядок действий при списании — в инструкции «Списали деньги с карты».
Подайте письменное заявление о несогласии с операцией
В отделении или через чат банка — с формулировкой из шаблона ниже. Требуйте отметку о приёме или номер обращения. Банк обязан рассмотреть заявление и дать ответ в срок не более 30 дней (60 — по трансграничным операциям).
Параллельно — заявление в полицию
Не вместо банка, а вместе с ним: постановление о возбуждении дела по ст. 159 УК усиливает вашу позицию в споре с банком и запускает поиск исполнителей. Что указать в заявлении — список ниже.
Отказали — эскалация: финуполномоченный, ЦБ, суд
Получите письменный отказ. Дальше — обращение к финансовому уполномоченному (бесплатно, споры до 500 тыс. руб., решение обязательно для банка), жалоба в интернет-приёмную Банка России и иск в суд. Аргумент один и тот же: ПИН похищен вредоносной программой, добровольной передачи доступа не было.
Шаблон формулировки для заявления в банк — подставьте свои данные:
Прошу признать операцию от [дата, время] на сумму [сумма] руб., совершённую через банкомат [банк, адрес, номер устройства — из выписки], операцией без согласия клиента и возместить её сумму в порядке ст. 9 Федерального закона № 161-ФЗ «О национальной платёжной системе».
Карту из владения не передавал, наличные в банкомате не снимал, распоряжение на операцию не давал. [Дата] мне под видом приложения «[название]» была установлена вредоносная программа, ретранслирующая NFC-сигнал карты (схема NFCGate); данные карты и ПИН-код похищены с её помощью, что исключает добровольную передачу третьим лицам.
Уведомление подаю в установленный срок — не позднее дня, следующего за днём получения уведомления об операции. Заявление в полицию подано [дата, номер КУСП]. Прошу дать мотивированный письменный ответ в срок не более 30 дней.
[Дата, подпись.] Приложения: выписка по счёту, талон КУСП, скриншоты фейкового приложения и переписки.
Банк почти наверняка попробует сослаться на то, что вы «сами установили приложение и сами ввели ПИН». Не принимайте это за финал: ввод ПИН-кода в поддельное приложение — не «передача третьим лицам» по своей воле, а хищение данных вредоносной программой, о которой вы не знали. Это ровно та граница, по которой спор выигрывается у финуполномоченного и в суде, — фиксируйте всё письменно и идите по инстанциям.
Маршрут 2
Вы внесли наличные на карту дропа: полиция и иск, а не банк
Честно и сразу: если вы своими руками вносили наличные через банкомат, оспаривать в банке нечего — операция совершена вами, добровольно, с прохождением всех проверок. Ни чарджбэк, ни ст. 9 ФЗ-161 здесь не работают. Но у реверс-схемы есть слабое место, которого нет у обычного перевода мошенникам: банкомат зачислил деньги на конкретную карту, и её номер намертво зафиксирован в банковской системе. А по закону № 115-ФЗ за каждой картой стоит идентифицированный владелец — с ФИО, паспортом и адресом. Это и есть ваша юридическая зацепка.
Соберите чеки и выписку — зафиксируйте операцию
Чек банкомата о внесении наличных (или выписка банка-владельца банкомата) — главный документ: в нём сумма, время, номер устройства и маскированный номер карты зачисления. Чек не выдали или потеряли — запросите в банке, которому принадлежит банкомат, справку по операции.
Заявление в полицию по ст. 159 УК — в тот же день
Подайте в ближайший отдел или через сайт МВД, получите талон КУСП. По заявлению проводится проверка (3–30 суток), затем возбуждается дело. Как составить заявление и добиться возбуждения — в инструкции об обращении в полицию; список обязательных пунктов — ниже.
Добейтесь установления владельца карты-дропа
Следователь запрашивает у банка-эмитента полный номер карты зачисления и данные владельца — банки на такие запросы отвечают. Подайте письменное ходатайство об этом запросе и о наложении ареста на счёт: чем раньше, тем больше шансов застать на нём деньги.
Гражданский иск к дропу о неосновательном обогащении
Владелец карты получил ваши деньги без всяких правовых оснований — это ст. 1102 ГК, плюс проценты по ст. 395 ГК. Иск можно подать в рамках уголовного дела (бесплатно) или отдельно. Суды устойчиво взыскивают такие суммы, а отговорку «я карту продал/потерял» отклоняют. Пошаговый разбор с шаблоном иска — в статье об иске к дропперу.
Сообщите своему банку и банку-эмитенту карты дропа
Напишите обоим о мошеннической операции: реквизиты дропа попадут в базу Банка России о мошеннических операциях, счёт заблокируют, а блокировка — сильный стимул для дропа вернуть деньги добровольно, не дожидаясь суда.
Если помимо внесения наличных вы ещё и переводили деньги со счёта по указаниям звонивших — по этим переводам работает отдельная логика: разобрали её в материале «Сам перевёл деньги мошенникам».
Сводка
Версии схемы, шансы и сроки: всё в одной таблице
| Версия схемы | Что произошло | Шанс возврата | Маршрут | Сроки |
|---|---|---|---|---|
| Прямая (клон карты) | Мошенник снял деньги в банкомате, транслируя вашу карту с вашего телефона | Высокий: операция без согласия клиента, банк обязан возместить | Заявление в банк по ст. 9 ФЗ-161 + полиция (ст. 159 УК) | Уведомить банк — до конца следующего дня; ответ банка — до 30 дней |
| Реверс (внесение наличных) | Вы внесли наличные в банкомат, они зачислены на транслируемую карту дропа | Через банк — нулевой; через полицию и суд — реальный: владелец карты идентифицирован | Полиция (ст. 159 УК) + иск к владельцу карты (ст. 1102 ГК) | Проверка по заявлению — 3–30 суток; суд — 2–6 месяцев |
| Гибрид с трояном (CraxsRAT, RatOn) | Троян сам ставит NFCGate, управляет телефоном, перехватывает СМС и пуши | По списаниям — как в прямой версии; по внесённым наличным — как в реверсе | Банк + полиция + экспертиза телефона по каждой операции | Те же; телефон не сбрасывать до фиксации доказательств |
Правовая рамка
Что говорит закон: три статьи, на которых строится возврат
Статья 9 ФЗ-161 — фундамент маршрута 1. Операция, совершённая без согласия клиента, возмещается банком, если клиент уведомил его не позднее дня, следующего за днём получения уведомления об операции, и не нарушал порядок использования карты. Обратите внимание на зеркальную норму: если банк вообще не уведомил вас об операции — обязанность возместить наступает независимо от сроков вашего обращения.
Статья 159 УК — мошенничество, то есть хищение чужого имущества путём обмана. Под неё подпадают обе версии схемы, включая реверс: то, что вы «сами» нажимали кнопки банкомата, не отменяет хищения — ваша воля была сформирована обманом. Именно поэтому полиция обязана принять заявление и в случае, когда наличные вносили вы.
Статья 1102 ГК — неосновательное обогащение, главный инструмент маршрута 2. Владелец карты, на которую упали ваши наличные, получил их без договора и без законного основания — значит, обязан вернуть, плюс проценты за пользование чужими деньгами по ст. 395 ГК. Для суда не имеет значения, тратил дроп деньги сам или «отдал кому-то»: отвечает тот, на чей счёт они поступили.
Подробно
Схема изнутри: цепочка, зацепки и типичные ошибки
Почему жертва «сама» отдаёт деньги: анатомия звонка
Ни одна ретрансляция не начинается с техники — она начинается со звонка. Сценарий отработан: сначала «оператор связи» («ваш договор истекает, продлите в приложении»), затем «Госуслуги» («по вашему аккаунту подозрительная активность»), следом «Центробанк» или «ФСБ» («на вас оформляют кредиты, счета под угрозой»). Каждый следующий «сотрудник» ссылается на предыдущего, создавая ощущение системы, которая вас спасает. Финал всегда один: установите приложение по ссылке и сделайте, что скажем.
Дальше давление наращивают: запрет рассказывать родным («тайна следствия»), постоянное удержание на линии, дедлайны в минутах. Человек в этом состоянии не анализирует — он выполняет. Именно поэтому жертвы реверс-схемы спокойно проходят мимо предупреждений на экране банкомата: у них в ухе голос, который «знает лучше». Если узнаёте этот сценарий — у нас есть подробный разбор телефонных схем с типовыми фразами мошенников.
Запомните два железных факта. Банки и ЦБ никогда не просят «перевести» или «внести деньги на безопасный счёт» — такой услуги не существует в природе. И никто из настоящих сотрудников не попросит установить приложение по ссылке из мессенджера: настоящие приложения живут в официальных магазинах.
Реверс-схема: почему антифрод её не ловит
С точки зрения банковской системы реверс-версия — идеальное преступление. Классический антифрод ищет аномалии: нехарактерные переводы, новые получатели, странная география. А тут аномалий нет: клиент сам снял свои наличные (обычная операция), затем кто-то внёс наличные на карту через банкомат (обычная операция). Две легальные транзакции, между которыми — только обман, произошедший в голосовом канале, куда алгоритмы не заглядывают.
Мошенники сознательно выбрали внесение наличных ещё по одной причине: оно необратимо и мгновенно. Перевод можно приостановить, счёт получателя — заморозить по «периоду охлаждения», а внесённые купюры зачисляются на карту дропа в ту же секунду и тут же уходят дальше по цепочке. F6 не случайно фиксировала свыше 1000 реверс-атак только за март 2025 года: схема масштабируется как конвейер — дропы с картами дежурят, «колл-центр» ведёт жертв, NFCGate связывает одних с другими.
Но у этой же механики есть обратная сторона, выгодная вам: внесение наличных через банкомат — самая задокументированная операция из возможных. Время, сумма, номер устройства, номер карты зачисления, а часто и видеозапись с камеры банкомата — всё это существует и хранится. У жертвы обычного телефонного перевода доказательств меньше.
Карта дропа — слабое звено всей схемы
Организаторы NFCGate-цепочек сидят за анонимными серверами, но деньги в физическом мире всегда приземляются на конкретный счёт. Карту дропа банк выпустил живому человеку: при открытии счёта он показал паспорт, оставил телефон и адрес — этого требует закон № 115-ФЗ. Банкоматная транзакция даёт железное доказательство связи: номер карты, на которую упали ваши наличные, известен банку, а по нему устанавливается владелец.
Дроп в суде обычно рассказывает одну из трёх историй: «карту потерял», «карту продал за пять тысяч, не знал зачем», «дал знакомому попользоваться». Судебная практика к этим историям беспощадна: передача карты третьим лицам запрещена договором с банком, и владелец отвечает за всё, что происходит по его счёту. Более того, в 2025 году законодатель ужесточил ответственность за дропперство вплоть до уголовной — и это заметно прибавило дропам сговорчивости: перспектива статьи мотивирует вернуть деньги на стадии претензии, до всякого суда.
Практический вывод: не останавливайтесь на «полиция приняла заявление, ждите». Ваша цель в первые недели — чтобы в деле появились полный номер карты зачисления и данные её владельца, а на счёт лёг арест. Дальше открывается гражданский маршрут — иск к дропперу о неосновательном обогащении, который работает независимо от того, поймают ли организаторов.
Заявление в полицию: семь пунктов, без которых оно буксует
Заявление «у меня украли деньги, помогите» проверяют долго и неохотно — не потому, что полиции всё равно, а потому что проверять нечего. Заявление с конкретикой запускает конкретные запросы. Обязательно укажите: 1) дату, время и номера телефонов всех звонков, кем представлялись собеседники; 2) точное название фейкового приложения, ссылку, по которой его скачали, и время установки (видно в настройках телефона); 3) какие разрешения просило приложение — доступ к NFC, назначение средством бесконтактной оплаты по умолчанию; 4) адрес и номер банкомата, время и сумму операции — с чека или из выписки; 5) реквизиты своей карты и счёта; 6) требование запросить у банка-владельца банкомата полный номер карты зачисления и данные её владельца, а также видеозапись с камеры устройства; 7) перечень приложений: чек, выписка, скриншоты, детализация звонков.
Отдельной строкой впишите ходатайства: об аресте счёта получателя (ст. 115 УПК) и о признании вас потерпевшим и гражданским истцом. Эти два статуса дают доступ к материалам дела и право взыскивать ущерб прямо в уголовном процессе. Заявление подавайте письменно в двух экземплярах — на вашем должны поставить отметку о приёме, — либо через сайт МВД с сохранением номера обращения. Талон КУСП обязателен: без него заявление юридически не существует.
Телефон с фейковым приложением — вещественное доказательство. Не сбрасывайте его до подачи заявления: предложите следователю осмотр или экспертизу устройства, зафиксируйте название пакета приложения на фото. И только после этого — полный сброс до заводских настроек, смена всех паролей и перевыпуск карт.
Гибриды 2025–2026: когда NFCGate ставится без вашего участия
Схема эволюционирует быстрее, чем о ней пишут новости. В апреле 2025 года F6 описала связку NFCGate с трояном CraxsRAT: жертву убеждают установить одно «безобидное» приложение, а троян внутри получает удалённый доступ к телефону и сам, без участия владельца, доставляет и настраивает NFCGate-модуль. В декабре 2025 года появился гибрид с RatOn — тот умеет ещё и перехватывать уведомления, подменять экраны банковских приложений и подтверждать операции. К маю 2026 года на NFCGate-схемы приходилось 5% всех впервые выявленных заражённых Android-устройств.
Для возврата денег это означает две вещи. Первая: не сводите заявление к одной операции — при трояне на телефоне проверьте всю историю за период заражения: списания, переводы, оформленные кредиты. Каждую чужую операцию оспаривайте отдельно по ст. 9 ФЗ-161. Вторая: экспертиза телефона становится сильным козырем — заключение о наличии трояна с функцией удалённого управления разбивает довод банка «клиент всё сделал сам».
И границы схемы стоит знать точно: NFC-ретрансляция в таком виде работает только на Android. На iPhone сторонние приложения не могут свободно эмулировать карту через NFC-модуль, поэтому конкретно эта схема там технически невозможна — что, увы, не мешает мошенникам атаковать владельцев iPhone фишингом и звонками.
Сколько реально возвращают: статистика без глянца
Обещать «вернём всё и быстро» мы не будем — цифры интереснее обещаний. По данным TAdviser, к создателям и распространителям NFCGate-схем заведено 610 уголовных дел на сумму около 200 млн рублей. Сопоставьте с масштабом ущерба — минимум 1,6 млрд за десять месяцев 2025 года — и станет ясно: до организаторов правосудие дотягивается в меньшинстве случаев. Ставить весь план возврата на «поймают и всё вернут» — стратегия слабая.
Поэтому рабочая стратегия двухслойная. По списаниям — давить на банк: обязанность возместить операцию без согласия не зависит от поимки мошенников вообще. По внесённым наличным — целиться не в организаторов, а в дропа: он идентифицирован, он в вашей юрисдикции, к нему есть готовый гражданский иск. Уголовное дело в этой конструкции — не лотерейный билет, а инструмент: оно вскрывает номер карты, владельца и движение денег.
Общий обзор всех способов возврата после любых мошеннических схем — от чарджбэка до субсидиарных исков — мы собрали в большом материале о возврате денег от мошенников: он поможет, если ваша ситуация не укладывается в два маршрута этой статьи.
Как проверить телефон и жить дальше: гигиена после атаки
Признаки NFCGate на телефоне: недавно установленное приложение «банка», «оператора» или «Госуслуг», скачанное не из официального магазина; запрос на назначение его платёжным приложением по умолчанию; просьбы «приложить карту для проверки»; самопроизвольная активация NFC. Загляните в настройки: «Подключения → NFC → бесконтактная оплата» — какое приложение назначено по умолчанию, и «Приложения → недавно установленные» — что появилось в день звонка.
После фиксации доказательств наводите порядок: полный сброс телефона до заводских настроек (антивирусной чистки «поверх» недостаточно — трояны выживают), смена паролей от банков, почты и Госуслуг с чистого устройства, перевыпуск всех карт, которые прикладывались к заражённому телефону или вводились в фейковое приложение. Проверьте свою кредитную историю: связки с CraxsRAT и RatOn умеют оформлять кредиты от вашего имени.
Профилактика на будущее укладывается в три привычки. Держите NFC выключенным, когда не платите телефоном, — включить его перед кассой занимает две секунды. Не устанавливайте ничего по ссылкам из звонков и мессенджеров — вообще ничего и никогда: это правило без исключений. И помните мантру: «безопасных счетов» не существует; фраза «переведите/внесите деньги на безопасный счёт» — это стопроцентный маркер мошенника, на котором разговор заканчивается.
Говорим честно
Что вряд ли сработает
Чтобы вы не тратили силы и сроки на тупиковые ходы — три вещи, которые в NFC-схемах не работают, как бы убедительно ни звучали.
Оспорить в банке наличные, внесённые своими руками
При реверс-версии заявление «верните, я вносил под давлением мошенников» банк отклонит законно: операция совершена вами, корректной картой (пусть и транслируемой), без технического сбоя. Чарджбэк тоже не применим — это инструмент для карточных покупок, а не для внесения наличных. Не тратьте месяц на переписку с банком: единственный рабочий маршрут здесь — полиция и иск к владельцу карты дропа.
Ждать, что «дело само раскроется»
610 уголовных дел против тысяч атак в месяц — организаторов ловят редко, дропов устанавливают часто, но только по активным делам. Если после подачи заявления вы не напоминаете о себе, не подаёте ходатайства и не запрашиваете статус — дело рискует лечь в стопку. Потерпевший, который добивается запроса по карте и ареста счёта, возвращает деньги; потерпевший, который ждёт, — ждёт.
«Юристы», гарантирующие возврат за предоплату
После заявления в полицию вам могут позвонить «юристы», «хакеры» или «служба возврата», которые «уже нашли ваши деньги» — нужно лишь оплатить пошлину или услуги. Это вторая волна той же схемы: базы жертв продаются, и по ним работают отдельные бригады. Никто, кто действительно может вернуть ваши деньги, не узнаёт об этом раньше вас и не берёт предоплату за «разблокировку средств».
Ошибки
Чего не делать
- Не удаляйте фейковое приложение и не сбрасывайте телефон, пока не зафиксировали доказательства и не показали устройство полиции.
- Не тяните с уведомлением банка о списании: срок по ст. 9 ФЗ-161 — до конца дня, следующего за уведомлением об операции.
- Не выполняйте «инструкции по возврату» от повторно звонящих «сотрудников» — это добивание жертвы по базе.
- Не вносите и не переводите «остатки» на новые «защищённые» счета: настоящий банк такого не просит никогда.
- Не платите «юристам с гарантией» предоплату за возврат — гарантий в этой сфере не бывает, а предоплата уходит туда же, куда и первые деньги.
Частые вопросы
Можно ли вернуть деньги, украденные через NFC?
Да, но маршрут зависит от версии схемы. Если деньги списали без вашего участия — банк обязан возместить операцию без согласия клиента по ст. 9 ФЗ-161, при условии что вы сообщили о ней не позднее следующего дня и не передавали коды сами. Если вы сами внесли наличные на карту дропа через банкомат — возврат идёт через полицию (ст. 159 УК) и гражданский иск к владельцу карты о неосновательном обогащении (ст. 1102 ГК): номер карты и данные её владельца известны банку.
Что такое NFCGate простыми словами?
Это легальная программа исследователей из Дармштадтского технического университета для анализа NFC-трафика. Мошенники встроили её модификацию в фейковые приложения «банков», «операторов» и «Госуслуг»: она пересылает бесконтактный сигнал карты через интернет между двумя телефонами. Банкомат «думает», что карта приложена к нему, хотя она за сотни километров, — в этом суть ретрансляции.
Работает ли NFC-схема на айфоне?
Нет. Ретрансляция через NFCGate возможна только на Android: iOS не даёт сторонним приложениям свободно работать с NFC-модулем в режиме эмуляции карты. Владельцев iPhone мошенники атакуют другими способами — фишингом и звонками, — но конкретно схема с трансляцией карты на банкомат на iPhone не работает.
Я внёс деньги через банкомат «на безопасный счёт» — что делать?
Это реверс-версия NFCGate: наличные ушли на карту дропа, которая транслировалась на ваш телефон. Оспорить операцию в банке нельзя — деньги вы внесли сами. Сохраните чек банкомата, в тот же день подайте заявление в полицию по ст. 159 УК и потребуйте запросить у банка номер и владельца карты зачисления. Дальше — гражданский иск о неосновательном обогащении к владельцу карты по ст. 1102 ГК.
Как понять, что на телефоне стоит NFCGate?
Признаки: вы недавно ставили приложение по ссылке из звонка или мессенджера, оно просило назначить его средством бесконтактной оплаты по умолчанию или дать доступ к NFC, а при поднесении карты к телефону «сканировало» её. Проверьте список установленных приложений и настройку «Бесконтактная оплата — приложение по умолчанию». Найденное приложение не удаляйте сразу: это доказательство для полиции и банка.
Нужно ли перевыпускать карту после NFC-атаки?
Да, обязательно. Если карту прикладывали к заражённому телефону или её данные вводились в фейковое приложение, карта и ПИН-код скомпрометированы: заблокируйте её и перевыпустите с новым ПИН. Телефон после фиксации доказательств сбросьте до заводских настроек, затем смените пароли от банковских приложений и Госуслуг.
В какой срок нужно сообщить банку о списании, чтобы вернули деньги?
Не позднее дня, следующего за днём, когда банк уведомил вас об операции, — так требует ст. 9 ФЗ-161. Пропустите срок — банк получит формальное основание для отказа в возмещении. Поэтому заявление о несогласии с операцией подавайте в день обнаружения списания: сначала по горячей линии с фиксацией номера обращения, затем письменно в отделении или чате.
Банк отказал в возмещении — куда жаловаться?
Сначала получите письменный отказ. Дальше три инстанции: финансовый уполномоченный (бесплатно, споры до 500 тыс. руб., решение обязательно для банка), интернет-приёмная Банка России и суд. Ключевой аргумент: ПИН и данные карты похищены вредоносной программой, добровольной передачи доступа третьим лицам не было — распоряжение на списание вы не давали.
Официальные источники
Исследования схемы и рекомендации регуляторов.