Як шахраї використовують NFC смартфона, щоб дистанційно спустошувати банківські картки

Технологія NFC створювалася для зручності — щоб платити телефоном чи карткою одним дотиком, без введення реквізитів. Саме ця зручність тепер стала вразливістю. У ПриватБанку зафіксували зростання NFC Relay-атак — схеми, яку банк називає однією з найскладніших технічно за 2026 рік. І це не випадковість, а закономірний етап еволюції фінансового шахрайства, коли масові дзвінки з фальшивих кол-центрів поступаються місцем точковим технологічним операціям.

Як технічно влаштована NFC Relay-атака

Модуль NFC у смартфоні та в банківській картці працює на короткій дистанції — це безконтактний обмін даними, розрахований на реальний фізичний контакт пристрою з терміналом чи карткою. Шахраї обходять цю фізичну прив’язку за допомогою ретрансляції сигналу через мережу: дані з картки, прикладеної до одного смартфона, миттєво передаються на інший пристрій зловмисника, який фізично перебуває біля банкомата чи платіжного термінала.

Технічно схема вимагає кількох елементів одночасно: спеціалізованого програмного забезпечення на пристрої жертви, каналу передачі даних у реальному часі та другого пристрою на боці зловмисника. Тому банк і оцінює NFC Relay-атаки як одну з найскладніших схем — вона потребує не соціальної інженерії саму по собі, а технічної інфраструктури поверх неї.

Сценарій завжди починається з контакту під приводом «оновлення застосунку» чи «перевірки безпеки». Жертву переконують завантажити стороннє програмне забезпечення з месенджера або невідомого сайту — саме цей крок є ключовим, бо офіційні магазини застосунків фільтрують шкідливий код на етапі модерації. Далі людину просять прикласти фізичну картку до смартфона та ввести ПІН-код — нібито для «сканування» чи «перевірки захисту». Насправді ці дані миттєво зчитуються шкідливим програмним забезпеченням і ретранслюються, після чого зловмисники знімають готівку в банкоматі або розраховуються в магазинах від імені жертви.

Чому статистика показує менше атак, але більші збитки

За даними Нацбанку, у 2025 році кількість незаконних операцій із платіжними картками скоротилася на 5% — до 256 тисяч. Водночас сума збитків зросла на 24% — до 1,4 млрд грн, а середній розмір однієї шахрайської операції збільшився на 30% — до 5536 грн. Ця розбіжність між динамікою кількості й динамікою збитків — головний макроіндикатор того, що відбувається із фінансовим шахрайством структурно.

Логіка проста: масові дешеві атаки — фішингові дзвінки, смс з посиланнями — стають менш ефективними, бо клієнти й системи безпеки банків уже навчилися їх розпізнавати. Натомість зловмисники переорієнтовуються на менш численні, але технологічно складніші схеми з вищою результативністю кожної окремої операції. NFC Relay-атака — приклад саме такого підходу: вона вимагає більше підготовки, ніж дзвінок від «служби безпеки банку», але дає доступ до реальних платіжних даних картки, а не лише до коду з смс.

Що це означає для банківського сектору

Для банків це зміщення фокусу протидії шахрайству. Якщо раніше основний захист будувався навколо виявлення підозрілих дзвінків і смс-фішингу, то тепер додається нова площина — контроль за тим, які застосунки клієнти встановлюють на пристрої, з яких перебуває картка. Банк не може технічно заборонити клієнту встановити стороннє програмне забезпечення, тому основний інструмент протидії — комунікація та роз’яснення: банк ніколи не просить прикладати картку до смартфона для «сканування» чи завантажувати файли з месенджерів.

• Встановлювати застосунки лише з офіційних магазинів — App Store чи Google Play
• Не виконувати інструкцій незнайомців щодо «оновлення» банківського застосунку
• Не прикладати картку до смартфона за проханням третіх осіб
• Не вводити ПІН-код у сторонніх застосунках поза банкоматом чи терміналом

Зростання середнього чека шахрайської операції на 30% при одночасному скороченні їх кількості — сигнал для всього сектору, що інвестиції в антифрод-системи мають зміщуватися від масового скорингу транзакцій до виявлення саме таких високотехнологічних сценаріїв. NFC Relay-атаки навряд чи стануть масовим явищем через технічну складність, але їхня результативність робить кожен окремий випадок значно дорожчим для банку і клієнта, ніж стандартна фішингова схема.