Bezpečnost elektronických peněženek

Proč jsou elektronické peněženky bezpečnější než fyzická karta

Apple Pay, Google Pay i hodinkové platby typu Garmin Pay nebo Fitbit Pay fungují na principu tokenizace - skutečné číslo vaší platební karty se při přidání do peněženky nahradí jedinečným, pro danou platbu nebo zařízení specifickým identifikátorem (tokenem). Obchodník ani terminál tak nikdy nevidí reálné číslo karty, jen token, který je mimo daný kontext k ničemu.

U Apple Pay Apple samo o sobě neukládá údaje o kartě - ty zpracuje vydávající banka a vrátí zařízení token označovaný jako DAN (Device Account Number), uložený v zabezpečeném hardwarovém prvku (Secure Element) telefonu. U Google Pay jsou údaje o kartě uloženy na serverech Google, které zařízení vrátí platební token - platba pak technicky prochází přes infrastrukturu Googlu. Rozdíl je tedy v tom, kde přesně token vzniká a kde se ukládají podkladová data, ne v tom, že by jeden systém byl zásadně "méně bezpečný".

Jak se liší ověření platby u digitální peněženky a fyzické karty

Kontaktní platba fyzickou kartou do určité částky (v ČR typicky 500 Kč, poté může terminál namátkově vyžádat PIN) neověřuje totožnost plátce vůbec. Platba z mobilu naopak vždy vyžaduje odemčení zařízení - u Apple Pay biometrii (Face ID/Touch ID) nebo kód, u Google Pay zámek telefonu, nejčastěji otisk prstu. To výrazně snižuje riziko zneužití v případě ztráty nebo odcizení platebního prostředku - zloděj s odcizenou kartou může bez PINu zaplatit menší částky, zloděj s odcizeným uzamčeným telefonem zpravidla ne.

Co dělat při ztrátě nebo odcizení telefonu s platební peněženkou

1. Okamžitě vzdáleně zablokujte zařízení (Najít iPhone / Najít zařízení Google) - u Apple Pay i Google Pay to automaticky deaktivuje uložené platební karty.
2. Kontaktujte banku a nechte si zobrazit, zda z karty v peněžence neproběhly neautorizované platby.
3. Odstraňte kartu ze své digitální peněženky i vzdáleně přes webové rozhraní účtu Apple/Google, pokud k zařízení nemáte fyzický přístup.
4. Pokud máte podezření na zneužití, zablokujte přímo fyzickou kartu u banky - u tokenizované platby to zneplatní i uložený token.

Rizika, na která tokenizace nechrání

Tokenizace řeší ochranu čísla karty při platbě, ale nechrání vás před podvody typu phishing nebo social engineering, kdy vás útočník přesvědčí, abyste si sami přidali jeho karu/platbu, nebo kdy získá přístup k vašemu odemčenému telefonu. Stejně tak nechrání před tím, pokud sami schválíte podvodnou platbu, protože vás útočník přesvědčil (např. falešný bankovní operátor po telefonu, který vás navede, abyste "ověřili" platbu schválením v telefonu).

Platby online a v aplikacích pomocí digitální peněženky

Kromě plateb na terminálu umožňují Apple Pay a Google Pay platit i v mobilních aplikacích a na webech, které tuto možnost podporují, bez nutnosti ručně zadávat číslo karty. I v tomto případě se používá tokenizace - webová stránka nebo aplikace obchodníka nikdy nezíská reálné číslo karty, jen jednorázový nebo zařízením specifický token, což snižuje riziko úniku údajů o kartě při prolomení zabezpečení internetového obchodu.

Kdy je naopak fyzická karta praktičtější

Digitální peněženka vyžaduje funkční a nabitý telefon nebo hodinky - při vybitém telefonu nebo výpadku zařízení fyzická karta zafunguje spolehlivě i bez elektroniky. Proto se obecně doporučuje mít u sebe jako zálohu i fyzickou kartu, zejména na cestách nebo v situacích, kde není jisté dobití zařízení.

Co se stane při ztrátě telefonu s nastavenou elektronickou peněženkou

Apple Pay i Google Pay jsou vázané na zámek obrazovky (PIN, otisk, Face ID) - bez jeho zadání nelze platit ani ve vypnutém stavu obnovit karty. Po ztrátě telefonu je ale vždy rozumné přes Find My/Find My Device zařízení vzdáleně zablokovat nebo vymazat a karty v internetovém bankovnictví dočasně pozastavit, dokud telefon nenajdete.

Platby hodinkami a náramky (Apple Watch, Garmin Pay, Fitbit Pay)

Platební funkce nejsou omezené jen na telefony - chytré hodinky s vlastní NFC platbou fungují na stejném principu tokenizace, ale typicky mají jednodušší zámek (PIN) než telefon. Pokud hodinky nosíte nepřetržitě a nesundáváte je, zámek zůstává aktivní; jakmile je sundáte, platební funkce se automaticky uzamkne a je nutné PIN zadat znovu.

Co dělat, pokud e-peněženku zneužije někdo jiný

Pokud zjistíte neautorizovanou platbu provedenou přes Apple Pay/Google Pay, postup je stejný jako u klasické karty - okamžitě kontaktujte banku, požádejte o zablokování karty a reklamujte transakci. Banka transakci dohledá podle tokenizovaného čísla a může ji spárovat s konkrétním zařízením, ze kterého platba proběhla, což usnadňuje vyšetřování.

Elektronické peněženky a cestování do zahraničí

Apple Pay i Google Pay fungují v zahraničí stejně jako doma, pokud terminál podporuje kontaktní platby - výhodou oproti fyzické kartě je, že při ztrátě telefonu stačí zařízení vzdáleně zablokovat, zatímco ztracenou kartu musíte nechat zablokovat zvlášť přes bankovní aplikaci nebo linku.

Často kladené otázky o elektronických peněženkách

Je Apple Pay nebo Google Pay bezpečnější než fyzická karta?

Z technického hlediska ano - tokenizace znamená, že obchodník nikdy nevidí reálné číslo karty, a platba navíc vyžaduje biometrické nebo PIN ověření na zařízení, což fyzická kontaktní platba do limitu neřeší.

Co se stane, když mi někdo ukradne telefon s nastaveným Apple Pay?

Bez odemčení zařízení (Face ID, Touch ID nebo kód) zloděj platbu neprovede. Doporučuje se ale i tak telefon co nejdříve vzdáleně zablokovat a kartu v peněžence deaktivovat.

Mohu používat Apple Pay nebo Google Pay bez internetu?

Samotná platba na terminálu proběhne přes NFC i bez datového připojení, protože token je uložený lokálně v zařízení. Pro přidání nové karty nebo synchronizaci je internet potřeba.

Jsou platby z chytrých hodinek (Garmin Pay) stejně bezpečné?

Ano, fungují na stejném principu tokenizace jako telefonní peněženky, hodinky navíc obvykle vyžadují zadání PIN kódu při nasazení na zápěstí, aby platba fungovala i samostatně bez telefonu.

Co mám dělat, pokud vidím na účtu neznámou platbu z digitální peněženky?

Okamžitě kontaktujte banku a nahlaste neautorizovanou transakci, zablokujte kartu i digitální peněženku a požádejte o reklamaci platby - banky mají ze zákona povinnost takové reklamace řešit.

Mohu platit digitální peněženkou i na internetu, ne jen na terminálu?

Ano, Apple Pay i Google Pay podporují platby v aplikacích a na webech, které tuto metodu nabízejí, se stejnou ochranou tokenizací jako u plateb na terminálu.

Měl bych mít u sebe i fyzickou kartu, když používám digitální peněženku?

Ano, jako zálohu pro případ vybití telefonu nebo technického problému se zařízením se doporučuje mít u sebe i fyzickou platební kartu.

Vidí obchodník při platbě Apple Pay/Google Pay číslo mé karty?

Ne, obchodník ani jeho terminál nikdy neuvidí skutečné číslo karty - přenáší se jen jednorázový tokenizovaný kód platný pro danou transakci.

Funguje Apple Pay nebo Google Pay bez internetového připojení telefonu?

Ano, samotná NFC platba funguje lokálně přes Bluetooth/NFC čip i bez datového připojení - internet potřebuje jen pro počáteční nastavení karty a případné notifikace.