банкоматное мошенничество Вредоносные программы Соцінженерія Социальная инженерия Телефонное мошенничество

«Прикладіть картку до смартфона»: як шахраї маскують NFC-Relay атаку під «Дію» та банківські застосунки

Уявіть ситуацію: посеред робочого дня лунає телефонний дзвінок. Співрозмовник представляється працівником служби безпеки банку і повідомляє тривожну новину: з вашого рахунку просто зараз намагаються зняти гроші. Діяти потрібно негайно. Щоб «заблокувати підозрілу транзакцію» або пройти «обов’язкову авторизацію через BankID», вам пропонують встановити спеціальну версію «Дії» чи оновлений застосунок банку. Посилання на завантаження надсилають у месенджері. Ви відкриваєте завантажений APK-файл і бачите знайомий інтерфейс. Далі — просто виконуєте вказівки на екрані: прикладаєте банківську картку до задньої панелі смартфона для її «верифікації» і вводите PIN-код у вікні підтвердження. У цей самий момент за сотні або тисячі кілометрів від вас незнайома людина підходить до банкомата, прикладає свій смартфон до безконтактного зчитувача — і знімає готівку з вашої картки. 

Це не сюжет із кіберпанку, а Card-to-Terminal NFC-Relay атака — порівняно новий для України, але вкрай небезпечний вид кібершахрайства. За даними Асоціації ЄМА, перші подібні випадки в Україні були зафіксовані наприкінці 2025 року. А вже у 2026-му NFC-Relay атаки стали серйозним викликом для банківського сектору. Банки вже протидіють таким атакам і вдосконалюють механізми їх виявлення та блокування. Але в цій схемі є ланка, яку не захистити лише банківськими технологіями, — це сам власник картки. Атака починається з того, що шахраї переконують людину встановити шкідливий застосунок, прикласти картку до смартфона та ввести PIN-код. Тому розбираємося, як працює NFC-Relay, під що маскуються шкідливі застосунки, на які дії шахраї провокують власників банківських карток та, головне, як захиститися від таких атак.

Від вуличних таксі в Сантьяго до банкоматів у Братиславі

За своєю суттю, relay-атака — це трансформація класичної схеми Man-in-the-Middle («людина всередині»). Її особливість полягає в тому, що зловмисникам взагалі не потрібно викрадати ваші цифрові ключі чи створювати дублікат картки. Вони працюють з «живим» сигналом: перехоплюють і ретранслюють безконтактний NFC-потік між банківською карткою та платіжним терміналом у режимі реального часу.

Європейські країни зіштовхнулися з цією «скамдемією» ще у 2022 році. Спочатку географія атак була доволі обмеженою. Однак із часом технологія стала доступнішою для зловмисників, а карта атак почала стрімко розширюватися. Лише протягом 2025 року у Великобританії зафіксували понад 2600 успішних relay-атак. У Швейцарії фіксували шахрайські атаки, коли дані карток швейцарських туристів зчитувалися прямо у чилійських таксі й миттєво використовувалися для покупок на іншому кінці світу. Тим часом сусідня Словаччина перетворилася на один із найгарячіших осередків таких атак у Європі — там щодня реєструють по кілька подібних інцидентів.

Наприкінці 2025 року перші тривожні сигнали з’явилися й в Україні. Всі вітчизняні кейси relay-атак розгортаються за сценарієм Card-to-Terminal: перехоплений сигнал завершується або миттєвим зняттям готівки у банкоматі, або швидкою оплатою дорогих товарів через POS-термінал.

Як працює relay-атака: від телефонного дзвінка до зняття готівки в банкоматі

Для успішної атаки шахраям потрібне поєднання двох компонентів: соціальної інженерії, яка змушує жертву діяти за їхніми інструкціями, та спеціалізованого шкідливого програмного забезпечення. Причому розробляти такий софт із нуля зловмисникам не обов’язково. Рішення на кшталт NGate або SuperCard X поширюються на тіньових майданчиках за моделлю Malware-as-a-Service (шкідливе ПЗ як послуга).

Уся вистава розгортається за кілька хвилин:

• Психологічний гачок: Жертва отримує дзвінок або фішингове повідомлення з посиланням на підроблений сайт (наприклад, diiasupphelpgov.site). Шахраї переконують: щоб зберегти кошти, потрібно терміново встановити «безпечний модуль Дії» або «спеціальну версію» банківського застосунку.
• Маскування: Завантажений APK-файл детально копіює інтерфейс офіційного застосунку. Користувач бачить знайомий логотип, дизайн  та звичні елементи інтерфейсу.
• Пастка: Застосунок просить пройти «просту процедуру верифікації» — прикласти банківську картку до задньої панелі смартфона та ввести PIN-код у вікні підтвердження.
• Магія ретрансляції: Щойно чіп картки торкається корпусу смартфона, зчитувач захоплює транзакційні APDU-команди. Шкідлива програма миттєво передає їх через WebSocket-сервер на пристрій нападника, який у цей самий момент знаходиться біля банкомата.
• Фінал: Смартфон нападника переходить у режим емуляції картки (Host Card Emulation). Банкомат сприймає його як справжню картку, отримує відповіді чіпа в режимі реального часу, схвалює транзакцію та видає готівку.

Головна особливість цієї схеми полягає в тому, що це «жива» транзакція. Шкідливе ПЗ працює за принципом Wi-Fi підсилювача: якщо перервати фізичний контакт картки зі смартфоном хоча б на секунду раніше, ланцюжок розривається і транзакція скасовується. 

Невидимий ворог: чому загрозу не помічають захисні системи

Чому класичні захисні рішення та системні фільтри (на кшталт Google Play Protect) виявляються безсилими проти таких застосунків? Справа в їхній архітектурній мінімалістичності.

Традиційне банківське шкідливе ПЗ залишає помітні «сліди». Воно запитує доступ до спецможливостей (Accessibility Services), намагається перехоплювати SMS-повідомлення, створює фальшиві вікна авторизації поверх легітимних програм тощо. Саме ця гучна діяльність може тригерити захисні фільтри.

Трояни для NFC-Relay, навпаки, навмисно розробляються з мінімально можливим набором функцій. Все, що їм потрібно — це базовий дозвіл на роботу з NFC-модулем, можливість тримати мережеве з’єднання активним і дозвіл запобігати переходу смартфона в режим сну, щоб сесія не обірвалася в найвідповідальніший момент. Для операційної системи такий APK-файл виглядає абсолютно невинно, адже він не має стандартних ознак троянського софту чи програм віддаленого керування.

Як зберегти власні кошти та не стати жертвою relay-атаки. Поради від ЄМА

Оскільки під час relay-атаки банкомат або термінал спілкується зі справжнім чіпом вашої картки, внутрішні фрод-моніторинги банків  сприймають цю операцію як легітимну. Саме тому головним рубежем захисту залишається особиста кібергігієна.

• Фундаментальне правило цифрової гігієни: ніколи не встановлюйте APK-файли, отримані в месенджерах.

Жодна державна установа, банк чи благодійний фонд не надсилає свої інсталяційні файли через Telegram, Viber або WhatsApp. Будь-хто, хто пропонує завантажити файл із розширенням .apk для «захисту рахунку» чи «підтвердження особи», — шахрай.

Як діяти правильно:

Завантажуйте застосунки виключно з офіційних магазинів Google Play або App Store, шукаючи програми самостійно через пошук, перевіряючи назву розробника, кількість завантажень та відгуки.

• Важливо пам’ятати: Дія або банк ніколи не попросять вас прикласти картку до свого смартфона — ні для «перевірки NFC», ні для «активації захисту». Крім того, ніколи не вводьте PIN-код у сторонніх програмах та не вмикайте демонстрацію екрана під час дзвінків.

• Відчуваєте найменший тиск або вам пропонують дивні маніпуляції з телефоном і карткою? — негайно покладіть слухавку. Перетелефонуйте на гарячу лінію банку за офіційним номером, який надрукований на звороті вашої картки, та повідомте про інцидент.

• Корисна порада: Якщо ви рідко користуєтеся безконтактною оплатою зі смартфона, тримайте модуль NFC вимкненим у швидкому меню налаштувань і вмикайте його лише за потреби.