Как мошенникам удаётся начать операцию в банкомате, не вставив в него банковскую карту?

Это терминалы и банкоматы с бесконтактной функцией. Достаточно прислонить карту, вставлять ее не нужно. Такие есть у Тинькофф, Сбербанка, Альфы, может еще у кого-то есть. Это делают чтобы уменьшить время на авторизацию.
Главное - внимательно смотреть на экран, что там написано. Перед началом общения с банкоматом можно пару раз нажать кнопку "Отмена" и внимательно смотреть на экран.

так запрограммирован банкомат
Уже справедливо критиковали Сбербанк за это, это серьезное упущение

Обозреватель Business FM Александра Сидорова проверила, как работает схема.

«Я выбрала «мобильную связь МТС». Дальше надо было ввести мой номер телефона, проверить данные платежа. После вводилась сумма. Финальная стадия: «Платеж подготовлен», карту я все еще не ввела. Проверяю все данные, нажимаю на кнопочку «оплатить картой Сбербанка», появляется белое окошко: «Чтобы завершить платеж, используйте карту или устройство». Дальше наименование: МТС и сумма платежа. Больше на этом экране не было ничего, кроме кнопочки для отказа «Нажмите отмену на клавиатуре». Дальше я ввожу карту, тут же появляется табличка «Пожалуйста, подождите». После этого привычное для нас окошко для ввода ПИН-кода.
В целом, мне кажется, если человек внимательно смотрит за тем, какую операцию он выполняет, то не заметить, что ты оплачиваешь чужую услугу или даже чужой номер телефона, невозможно. Не представляю, каким образом могут осуществляться такие мошеннические операции».
------------------------------------------------------------------------------------------------------
Выбор операции без предварительного ввода карты — это просто настройка банкомата, говорит замруководителя лаборатории компьютерной криминалистики Group-IB Сергей Никитин:

— Тут не совсем уязвимость как таковая, а именно невнимательность пользователей. Основная проблема в том, что можно запросить карту и ПИН-код после совершения операции. У каких-то банкоматов и платежных терминалов так возможно, у каких-то нет. Это особенности реализации. Наверное, единственная претензия может быть разве что в том, чтобы сделать надписи крупнее, чтобы следующий пользователь был предупрежден, особенно учитывая, что в основном контингенте Сбербанка пенсионеры и пожилые люди. Называть это какой-то невероятной уязвимостью, наверное, очень громко сказано. Люди могут просто ждать полторы минуты перед тем, как начинать операцию в банкомате, и они гарантированно будут защищены.

Это чудо терминалы, которых я в жизни не встречал.

В банкомате и не получится. Говорили, про какие то терминалы, но я у Сбера таких не встречал. Похоже просто говновброс был.

я тоже этого не понимаю, подходишь--там написано вставьте карту и как мошенники могут что то делать без карты?

Там где есть прием наличных - вполне возможно.

Есть сервисные коды, позволяющие с кнопок клавиатуры получить доступ к программному обеспечению банкомата.

Они её вставляют за пару минут до вас.