Мошенники сняли деньги через NFC: приложил карту к телефону

Схема выглядит одинаково почти во всех обращениях. Звонит «сотрудник банка», «специалист Госуслуг» или «оператор связи», говорит о сбое, подозрительной заявке или замене SIM-карты и просит установить служебное приложение по ссылке. Внутри файла — троян удалённого доступа и модуль ретрансляции ближней связи. Дальше звучит ключевая просьба: приложите карту к задней панели телефона и введите ПИН «для подтверждения». В этот момент чип карты отвечает не вашему банку, а телефону мошенника, который стоит у банкомата в другом городе. Он собирает программный клон и снимает наличные. С момента звонка до первой выдачи иногда проходит меньше пятнадцати минут.

Юридически ситуация отличается от привычного «перевёл мошенникам». Деньги ушли не переводом на чужой счёт, а расходной операцией по вашему счёту в виде выдачи наличных. Поэтому не работают инструменты, рассчитанные на переводы: база Банка России о случаях и попытках переводов без добровольного согласия клиента, приостановление зачисления на два дня, отказ получателя от денег. Требование строится иначе — через статьи 845, 847 и 854 Гражданского кодекса о договоре банковского счёта и через части 11–15 статьи 9 Федерального закона № 161-ФЗ об операциях без согласия клиента. Адресат первого требования — ваш банк, а не банк получателя.

Первый абзац любой консультации начинается с одного вопроса: сколько времени прошло. Часть 11 статьи 9 № 161-ФЗ обязывает клиента уведомить банк об использовании карты без согласия не позднее дня, следующего за днём получения уведомления о совершённой операции. Срок привязан не к тому, когда вы всё осознали, а к тому, когда банк вас известил. Если push и SMS перехватило вредоносное приложение и вы узнали о снятии из выписки через неделю, точку отсчёта придётся доказывать. Поэтому письменное заявление подают в тот же день, когда картина стала ясна, даже если разговор с мошенниками был накануне, и отдельно фиксируют, доходили ли уведомления вообще.

Второй вопрос — что именно банк обязан вернуть и в какой срок. Срок и обязанность лежат в разных частях статьи 9 № 161-ФЗ, и путать их не стоит. Часть 8 отводит оператору по переводу денежных средств на рассмотрение заявления клиента не более 30 дней со дня получения, а по трансграничным операциям — не более 60 дней. Часть 15 добавляет главное: банк возмещает сумму операции без согласия клиента, если не докажет, что клиент нарушил порядок использования электронного средства платежа. Вместе это даёт конкретный срок ответа вместо бесконечного «рассматриваем» и перекладывает доказывание на банк: не вы подтверждаете невиновность, а банк показывает нарушение правил с вашей стороны.

Именно здесь возникает главная трудность разбираемой схемы. ПИН-код вы ввели сами, пусть и в поддельном приложении мошенников. Банки трактуют это как передачу средств подтверждения третьим лицам и отказывают со ссылкой на нарушение порядка использования карты. Довод серьёзный, но не абсолютный. Ответом служат три встречных линии: доказательства обмана и обстановки звонка, вопрос о корректности уведомления об операции и проверка того, как сработала антифрод-система банка. Ни одна из линий не гарантирует возврат, но вместе они превращают отказ из очевидного в спорный, а спорный отказ уже проверяют финансовый уполномоченный и суд.

Свежий рычаг появился 1 сентября 2025 года вместе с антифрод-пакетом Федерального закона от 01.04.2025 № 41-ФЗ. Приказ Банка России от 07.08.2025 № ОД-1765 установил признаки выдачи наличных денежных средств без добровольного согласия клиента с использованием банкоматов. В перечень вошли несоответствие запроса на выдачу привычным для клиента времени, месту, сумме и частоте снятий; нетипичный способ направления запроса; запрос наличных в течение 24 часов после предоставления кредитных средств или увеличения лимита, зачисления свыше 200 000 ₽ через систему быстрых платежей либо досрочного расторжения вклада на такую же сумму. При срабатывании признака банк ограничивает выдачу — ориентир составляет 50 000 ₽ в сутки на срок до 48 часов — и предупреждает клиента о риске мошенничества.

Практический смысл перечня в том, что он даёт измеримый вопрос к банку. Снятие прошло в городе, где вы никогда не были, в три часа ночи, суммами по 40 000 ₽ подряд, а карта до этого работала только в одном районе — почему ни один признак не сработал? Отдельный пункт перечня прямо описывает вашу схему: превышение установленного правилами платёжной системы времени ответа на запрос APDU при обмене банкомата с картой. Ретрансляция через интернет добавляет задержку, и банкомат вправе её увидеть. Ответ «клиент подтвердил ПИН» перестаёт закрывать вопрос: признаки построены на нетипичности поведения и на технике обмена, а не на подтверждении. Запрос о применении признаков включайте в заявление, в жалобу регулятору и в обращение к финансовому уполномоченному.

Разберём термины, которые встретятся в переписке. Электронное средство платежа — это карта и любой способ распоряжаться счётом, включая приложение и токен в кошельке. Операция без согласия клиента — операция, распоряжение по которой клиент не давал. Ретрансляция ближней связи, или NFC-релей, — передача ответов чипа карты по интернету на устройство мошенника, которое перед банкоматом выглядит как ваша карта. Клон в этой схеме программный: физическая карта остаётся у вас, поэтому «карта при мне» перестаёт быть аргументом. RRN и код авторизации — идентификаторы конкретной операции, по которым банк и полиция находят устройство и время.

У схемы есть зеркальная версия, и путать их нельзя. В обратном варианте жертву убеждают внести собственные наличные в банкомат «на безопасный счёт», а телефон в этот момент эмулирует карту дроппера: деньги зачисляются мошенникам. Здесь со счётом в банке ничего не происходило, требование к банку почти лишено оснований, зато сильнее уголовный трек и иск о неосновательном обогащении к владельцу карты. Третий вариант — карту добавляют в чужой платёжный кошелёк, и вместо снятия идут покупки. Тогда добавляется отдельный спор об аутентификации при токенизации. Определите свой вариант до подачи первого заявления.

Уголовная квалификация тоже разная, и она влияет на ход проверки. Когда соучастник мошенников получил наличные в банкомате по программному клону, изъятие произошло без вашего участия и тайно — деяние обычно относят к краже с банковского счёта по пункту «г» части 3 статьи 158 УК РФ. Когда вы сами внесли деньги или сами перевели их, речь идёт о мошенничестве по статье 159 УК РФ. Заявление стоит писать не эмоциями, а хронологией: время звонка, время установки приложения, время прикладывания карты, время каждой выдачи, город и адрес банкомата, если банк их уже сообщил.

История читателя № 1 (обезличенная): пенсионерка из Сибири, 71 год, получила звонок мошенников о «замене SIM-карты», установила приложение и дважды приложила карту к телефону. За полтора часа с её счёта в банкомате соседней области сняли 187 000 ₽ пятью операциями. Заявление в банк она подала на следующее утро, отказ пришёл через 26 дней со ссылкой на ввод ПИН. После жалобы в Банк России и обращения к финансовому уполномоченному банк согласился вернуть 74 000 ₽ по двум последним операциям: они прошли в третьем по счёту городе за одну ночь, и объяснить, почему не сработал признак нетипичного места и времени, банк не смог. Остальное осталось предметом уголовного дела.

История читателя № 2 (обезличенная): предприниматель из Поволжья, 38 лет, потерял 640 000 ₽ с зарплатной карты и накопительного счёта после аналогичного звонка мошенников «из службы безопасности». Он сбросил телефон к заводским настройкам в тот же вечер, надеясь удалить вирус, и подал письменное заявление только через девять дней, ограничившись сначала звонком на горячую линию. Банк отказал, финансовый уполномоченный прекратил рассмотрение из-за превышения лимита в 500 000 ₽, суд первой инстанции банк поддержал. Деньги частично взыскиваются сейчас с установленного получателя по гражданскому иску в уголовном деле — процесс идёт второй год.

Разница между историями держится на трёх вещах: скорость письменного уведомления, сохранность телефона и наличие объективного изъяна в поведении банка. Ни одна из них не связана ни с красноречием заявления, ни с тем, насколько убедительно звучали мошенники. Поэтому маршрут ниже построен так, чтобы за первые сутки закрыть срочные действия, за первую неделю собрать реквизиты операций и уголовный номер, за месяц получить письменный ответ банка, а дальше двигаться по обязательной досудебной лестнице. Каждый шаг содержит норму, срок и перечень того, что нужно сохранить: без этого набора любой следующий адресат вернёт обращение и попросит недостающее.

Про деньги на стороне получателя. Наличные, снятые в банкомате, физически уходят к курьеру, но перед выдачей они списываются со счёта, а сама карта-клон привязана к вашему счёту, а не к чужому. Значит, привычный путь «арестовать счёт получателя» здесь работает только в обратной схеме или тогда, когда часть суммы всё-таки прошла переводом. В остальных случаях источник возмещения два: банк, если удастся оспорить его отказ, и установленный участник группы мошенников, с которого взыскивают вред по гражданскому иску. Планируйте оба направления сразу, а не последовательно: следствие идёт долго, а срок исковой давности по статье 196 ГК РФ составляет три года.

Последнее вводное замечание — о деньгах, которых нет. Некоторые обращения приходят после того, как человек уже заплатил «за возврат» посреднику — по сути вторым мошенникам, обещавшим решить вопрос через знакомых в банке. Возврат по такой схеме невозможен: ни банк, ни Банк России, ни финансовый уполномоченный не рассматривают обращения быстрее из-за посредника, а деньги за услугу превращаются во второй убыток. Все действия ниже человек может выполнить сам либо с помощью представителя по доверенности, и ни одно из них не требует платы регулятору или суду: обращение к финансовому уполномоченному для потребителя бесплатно.