10月27日、Security AffairsのライターPierluigi Paganiniが「AI-Generated Fake Bank Calls and NFC App Enabled €380,000 Fraud, Dutch Police Say」と題した記事を公開した。AI音声と偽造バンキングアプリ、NFC技術を組み合わせて170人から約38万ユーロを騙し取ったオランダの詐欺事件について詳しく紹介している。

わずか3週間で38万ユーロ——AIとNFCを組み合わせた新手の銀行詐欺

オランダ・ロッテルダム警察は、AI生成の音声通話・偽バンキングアプリ・NFC技術を組み合わせた銀行詐欺に関与したとして、男2人を逮捕した。わずか3週間で170人の被害者から約38万ユーロ（約6,000万円相当）を詐取したとされる。ロッテルダムの裁判所は両容疑者に対し、捜査継続のためさらに少なくとも90日間の身柄拘束を命じた。

容疑者の一人はヘルデルラント州ファッセン出身の23歳で、技術の開発およびグループの指示役を担ったとされる。もう一人はヘルデルラント州エーデ出身の25歳で、作戦全体のコーディネート役とされている。

手口の詳細：AI音声 → 偽アプリ → NFC窃取という3段構成

この詐欺の技術的な流れは以下のとおりだ。

① AI生成の自動音声で接触
被害者に録音メッセージが届き、「あなたの口座で不審な動きがある」と警告する。犯人グループはAIを使って複数の声・銀行名・シナリオを使い分けた数十種類の録音を用意していた。メッセージは「心当たりがなければ1を押してください」と案内し、押すと「銀行員」を名乗る人物につながる。

② 偽バンキングアプリのインストールを誘導
「銀行員」はスクリプトに従って被害者に焦りを与え、カードをブロックする手続きとしてアプリのインストールを促した。

③ NFCでカードデータを窃取
被害者がアプリ上の指示に従ってスマートフォンにカードをかざすと、カードのNFCチップ（非接触決済に使われる近距離無線通信）のデータが、共犯者のアプリにリアルタイムで送信される。共犯者はATMや決済端末で待機し、被害者が気づかないうちに数千ユーロを引き出した。

警察はこの技術的手法を「これまで見たことのないものだ」と表現している。

NFCリレーアタックの技術的背景

今回の手口の核心は、セキュリティ研究者の間で以前からNFCリレーアタック（NFC relay attack）として知られる攻撃手法だ。正規のカードと決済端末の間に2つのデバイスを割り込ませ、NFCの通信を中継することで、カード本体が物理的に存在しない場所での決済や現金引き出しを可能にする。

類似した攻撃手法はマルウェアの形でも確認されており、2024年にESETが報告したNGATEマルウェアはAndroidデバイスのNFC通信を傍受・中継することでATMから不正に現金を引き出す機能を持っていた。ただし、NGATEはマルウェアとして端末に潜伏する手法であるのに対し、今回の事件では被害者自身に偽アプリをインストールさせ、自らカードをかざさせるという点で、ソーシャルエンジニアリングを前面に出した構成になっている。AI音声による大規模な自動発信と組み合わせたケースとして、当局は「初めて確認した実例」と位置付けている。

捜査の経緯

事件が発覚したのは9月中旬、オランダの複数の銀行が電子犯罪タスクフォース（ECTF）を通じて新手の詐欺を報告したことがきっかけだ。ECTFは銀行・警察・検察が連携して金融・デジタル犯罪に対処する官民共同の枠組みである。

ロッテルダムのサイバー犯罪チームはECTFへの照会から数日以内に犯行グループが使用するデジタルインフラを特定。サーバーを監視しながら、技術担当者・被害者への電話発信元・現金引き出しの実行者を順次追跡し、逮捕に至った。

この手口が示すリスク

NFCを悪用したカードデータの中継攻撃自体は以前から研究者が指摘していたが、AIによる自動音声を使った大規模なソーシャルエンジニアリングと組み合わせた実例は当局にとって初めてのケースとなった。被害者の年齢層は幅広く、20〜30代が数十人含まれており、「高齢者が騙される詐欺」という従来の構図には当てはまらない。

警察は「電話でアプリをインストールしてカードをスキャンするよう求められたら、すぐに電話を切り、カード裏面に記載の番号に直接電話してほしい」と呼びかけている。

詳細はAI-Generated Fake Bank Calls and NFC App Enabled €380,000 Fraud, Dutch Police Sayを参照していただきたい。