Jak bezpiecznie płacić telefonem? Najważniejsze zasady ochrony

Udostępnij ten artykuł

Telefon coraz częściej zastępuje portfel. Można nim zapłacić w sklepie, restauracji, komunikacji miejskiej albo podczas zakupów internetowych. Samo dodanie karty do Apple Pay czy Portfela Google nie sprawia jednak, że można przestać myśleć o bezpieczeństwie.

Dobra wiadomość jest taka, że płatność telefonem nie polega na zwykłym przesłaniu sprzedawcy numeru zapisanej karty. Nowoczesne portfele mobilne wykorzystują mechanizmy zabezpieczające dane płatnicze, a transakcja wymaga odpowiednio skonfigurowanego urządzenia. Największym zagrożeniem w praktyce często nie jest więc sam terminal, lecz przejęcie telefonu, kodu odblokowującego albo danych przez oszustwo.

Czy płacenie telefonem jest bezpieczniejsze niż zwykłą kartą?

W wielu sytuacjach może zapewniać dodatkową warstwę ochrony.

W Apple Pay rzeczywisty numer karty nie jest przekazywany sprzedawcy podczas płatności. Zamiast niego używany jest specjalny numer przypisany do urządzenia oraz dynamiczny kod bezpieczeństwa związany z daną transakcją. Apple wskazuje również, że do korzystania z usługi urządzenie musi mieć ustawiony kod, a płatności mogą wymagać uwierzytelnienia przez Face ID, Touch ID lub kod.

Podobną zasadę ochrony stosuje Portfel Google. Do płatności zbliżeniowych wymagane jest zabezpieczenie ekranu, a Google wskazuje, że dane płatności są chronione m.in. za pomocą szyfrowania i mechanizmów kart wirtualnych.

Nie oznacza to, że telefon staje się niemożliwy do wykorzystania przez oszusta. Bezpieczeństwo portfela mobilnego zależy również od tego, jak dobrze zabezpieczone jest samo urządzenie i konto użytkownika.

Zacznij od blokady telefonu, której nie zna pół rodziny

Najważniejszym zabezpieczeniem nie jest aplikacja bankowa ani logo portfela cyfrowego. Jest nim ekran blokady.

PIN 1234, rok urodzenia albo prosty wzór, który ktoś może podejrzeć w kolejce, znacząco obniżają poziom ochrony.

Do odblokowania telefonu lepiej używać:

odpowiednio długiego kodu lub hasła,
odcisku palca,
bezpiecznego rozpoznawania twarzy dostępnego w urządzeniu,
kombinacji biometrii i kodu awaryjnego.

Portfel Google wymaga ustawionej blokady ekranu do płatności zbliżeniowych i wykorzystuje obsługiwane metody weryfikacji użytkownika.

Dlaczego sam odcisk palca nie wystarczy?

Biometria jest wygodna, ale telefon nadal posiada kod zapasowy.

Jeżeli ktoś pozna ten kod, może w określonych sytuacjach uzyskać znacznie większy dostęp do urządzenia niż osoba mająca tylko możliwość przyłożenia telefonu do terminala.

Dlatego kod odblokowujący trzeba traktować podobnie jak PIN do karty: nie podawać go innym osobom i nie wpisywać w taki sposób, żeby łatwo można go było podejrzeć.

Nie zapisuj PIN-u do banku w notatkach telefonu

To jedna z tych metod „na wszelki wypadek”, która działa świetnie do momentu zgubienia urządzenia.

Jeżeli w telefonie znajdują się jednocześnie:

aplikacja bankowa,
skrzynka e-mail,
wiadomości SMS,
zdjęcia dokumentów,
notatka z hasłami lub PIN-ami,

przejęcie odblokowanego urządzenia może otworzyć oszustowi kilka dróg jednocześnie.

Nie zapisuj w zwykłych notatkach kodów do banku, pełnych danych kart ani haseł.

Jeśli potrzebujesz przechowywać wiele haseł, lepszym rozwiązaniem jest sprawdzony menedżer haseł zabezpieczony silnym hasłem głównym i dodatkowym uwierzytelnianiem.

Ustaw blokowanie telefonu po krótkim czasie

Telefon pozostawiony na stoliku w kawiarni nie powinien przez kilkanaście minut pozostawać odblokowany.

Im krótszy rozsądny czas automatycznej blokady, tym mniejsze okno, w którym przypadkowa osoba może dostać się do urządzenia.

To szczególnie ważne, jeśli telefon służy jednocześnie do:

płacenia,
bankowości,
odbierania kodów SMS,
autoryzowania transakcji,
logowania do poczty.

W takim urządzeniu ekran blokady chroni znacznie więcej niż tylko zdjęcia i wiadomości.

Włącz możliwość zdalnego odnalezienia i zablokowania telefonu

O bezpieczeństwie najlepiej pomyśleć przed zgubieniem urządzenia, a nie dopiero wtedy, gdy telefonu już nie ma.

Android umożliwia przygotowanie urządzenia do zdalnego odnalezienia, zabezpieczenia lub usunięcia danych. Google wskazuje również, że zdalne wymazanie urządzenia usuwa zapisane na nim informacje płatnicze.

W ekosystemie Apple również dostępne są funkcje pozwalające odnaleźć zgubione urządzenie i odpowiednio zareagować.

Przed rozpoczęciem korzystania z płatności mobilnych sprawdź więc, czy:

telefon jest przypisany do Twojego konta,
działa funkcja lokalizacji urządzenia,
pamiętasz hasło do konta Apple lub Google,
masz skonfigurowaną metodę odzyskiwania dostępu do konta.

Awaryjna konfiguracja wykonana wcześniej może oszczędzić dużo stresu po utracie telefonu.

Co zrobić, gdy zgubisz telefon z kartami płatniczymi?

Najgorszym rozwiązaniem jest czekanie kilka godzin z nadzieją, że urządzenie znajdzie się w samochodzie.

Jeżeli nie wiesz, gdzie jest telefon:

spróbuj go zlokalizować za pomocą usługi producenta,
zablokuj urządzenie zdalnie,
jeżeli sytuacja tego wymaga, usuń z niego dane,
sprawdź historię transakcji,
skontaktuj się z bankiem, jeśli istnieje podejrzenie nieautoryzowanego użycia,
zabezpiecz konto Apple lub Google, jeżeli podejrzewasz przejęcie danych logowania.

Nie trzeba automatycznie zakładać, że złodziej może natychmiast płacić zgubionym telefonem. Portfele mobilne wykorzystują blokadę urządzenia i mechanizmy uwierzytelnienia. Szybka reakcja nadal jest jednak najbezpieczniejszym wariantem.

Największym zagrożeniem może być fałszywa wiadomość, nie terminal

Wokół płatności zbliżeniowych narosło wiele obaw dotyczących „ściągania pieniędzy przez NFC”.

W codziennym korzystaniu większą uwagę warto poświęcić znacznie bardziej typowym oszustwom:

fałszywym SMS-om od banku,
wiadomościom o niedopłacie za przesyłkę,
fałszywym bramkom płatniczym,
prośbom o instalację aplikacji,
telefonicznym „pracownikom banku”,
linkom wymagającym ponownego zalogowania do konta.

Technicznie dobrze zabezpieczony portfel nie pomoże, jeżeli użytkownik sam poda oszustowi dane logowania albo zatwierdzi operację, której nie rozumie.

„Dzwonię z banku, proszę coś zatwierdzić w aplikacji” — zatrzymaj się

To szczególnie niebezpieczny scenariusz.

Osoba po drugiej stronie może znać Twoje imię, nazwę banku, a czasem nawet fragment innych danych. Sama wiedza rozmówcy nie potwierdza jego tożsamości.

Jeśli podczas rozmowy pojawia się prośba o:

podanie hasła,
przekazanie kodu SMS,
zatwierdzenie operacji w aplikacji,
instalację programu,
przeniesienie pieniędzy na „konto techniczne” lub „bezpieczne konto”,

nie wykonuj instrukcji pod presją.

Rozłącz się i samodzielnie skontaktuj z bankiem, korzystając z numeru znajdującego się w oficjalnej aplikacji, na karcie albo stronie banku wpisanej samodzielnie w przeglądarce.

Zawsze czytaj ekran autoryzacji

Wygoda aplikacji bankowych przyzwyczaja do szybkiego potwierdzania komunikatów.

To zły nawyk.

Zanim użyjesz odcisku palca, rozpoznawania twarzy lub PIN-u, sprawdź:

kwotę,
odbiorcę,
typ operacji,
informację o dodawaniu nowego urządzenia,
informację o aktywacji usługi,
komunikat o zmianie limitów.

Jeżeli aplikacja prosi o potwierdzenie czegoś, czego właśnie nie robisz, nie zatwierdzaj tego tylko po to, żeby komunikat zniknął.

Nie dodawaj karty po wejściu w przypadkowy link

Kartę do Portfela Google czy Apple Pay najlepiej dodawać bezpośrednio w oficjalnej aplikacji portfela albo za pośrednictwem funkcji dostępnej w aplikacji własnego banku.

Google wskazuje, że bank może wymagać dodatkowej weryfikacji dodawanej metody płatności, a kod weryfikacyjny pochodzi wtedy od banku.

Jeśli SMS lub e-mail informuje, że „Twoja karta straci ważność w portfelu” i prowadzi do formularza wymagającego pełnych danych karty, potraktuj wiadomość jako podejrzaną.

Nie otwieraj portfela płatniczego przez link otrzymany od nieznanego nadawcy. Uruchom aplikację samodzielnie i sprawdź, czy rzeczywiście pojawił się problem.

Czy trzeba wyłączać NFC po każdym zakupie?

Nie jest to najważniejsze zabezpieczenie płatności telefonem.

Portfele mobilne nie działają na zasadzie otwartej karty, z której dowolny terminal może swobodnie pobrać pieniądze. Android wymaga odpowiedniej konfiguracji płatności, blokady urządzenia i weryfikacji użytkownika, a Apple Pay korzysta z uwierzytelnienia oraz danych płatniczych powiązanych z urządzeniem.

Wyłączanie NFC może mieć sens, jeśli użytkownik po prostu z niego nie korzysta, ale nie zastąpi:

mocnej blokady telefonu,
aktualnego systemu,
ostrożności wobec phishingu,
ochrony konta Google lub Apple,
kontroli transakcji.

Skupienie całej uwagi na przełączniku NFC może więc odciągać od znacznie bardziej realnych zagrożeń.

Aktualizacje telefonu nie są kosmetyką

Telefon używany do bankowości i płatności powinien mieć aktualny system oraz poprawki bezpieczeństwa.

Stary model, który od dawna nie otrzymuje aktualizacji, może być mniej rozsądnym miejscem do przechowywania dostępu do pieniędzy niż urządzenie objęte bieżącym wsparciem producenta.

Praktyczna zasada jest prosta:

instaluj aktualizacje systemowe,
aktualizuj aplikację bankową,
aktualizuj Portfel Google lub systemowe komponenty płatności,
nie instaluj aplikacji bankowych z przypadkowych plików APK,
korzystaj z oficjalnego sklepu z aplikacjami.

Google wymaga również, aby telefon spełniał określone wymagania bezpieczeństwa, zanim będzie mógł służyć do płatności zbliżeniowych.

Nie rootuj telefonu, jeśli ma być Twoim portfelem

Zaawansowane modyfikacje systemu mogą dawać dodatkowe możliwości, ale potrafią też osłabić zabezpieczenia przewidziane przez producenta.

To jeden z powodów, dla których portfele płatnicze sprawdzają integralność urządzenia i mogą odmówić działania na sprzęcie niespełniającym wymagań bezpieczeństwa.

Jeżeli telefon ma służyć do przechowywania kart, bankowości i potwierdzania płatności, stabilny oraz aktualny system jest znacznie ważniejszy niż możliwość instalowania eksperymentalnych modyfikacji.

Uważaj na aplikacje proszące o nietypowe uprawnienia

Latarka nie potrzebuje dostępu do SMS-ów. Prosta gra nie powinna wymagać możliwości sterowania całym telefonem.

Szczególną ostrożność zachowaj, gdy aplikacja prosi o dostęp do:

usług ułatwień dostępu,
wiadomości SMS,
powiadomień,
wyświetlania treści nad innymi aplikacjami,
zdalnego sterowania ekranem,
instalowania innych aplikacji.

Część z tych funkcji jest legalnie wykorzystywana przez prawidłowe programy. W rękach złośliwego oprogramowania mogą jednak pomóc w przejęciu danych albo obserwowaniu operacji użytkownika.

Nie przyznawaj uprawnienia tylko dlatego, że aplikacja pokazuje przycisk „Dalej”.

Publiczne Wi-Fi i płacenie telefonem — gdzie naprawdę jest ryzyko?

Sama płatność NFC przy terminalu nie potrzebuje otwartej sieci Wi-Fi w kawiarni do przekazania numeru karty sprzedawcy.

Większa ostrożność jest potrzebna wtedy, gdy na publicznej sieci:

logujesz się do bankowości przez przeglądarkę,
instalujesz aplikacje,
otwierasz linki z wiadomości,
dokonujesz zakupów na nieznanych stronach.

Jeżeli musisz wykonać ważną operację finansową, własna transmisja komórkowa jest prostszym sposobem ograniczenia części ryzyka niż przypadkowy hotspot o nazwie podobnej do nazwy hotelu lub restauracji.

Nie oznacza to, że każda publiczna sieć automatycznie kradnie dane. Chodzi o ograniczanie niepotrzebnych punktów ryzyka.

Ustaw powiadomienia o transakcjach

Telefon może nie tylko służyć do płacenia, ale też do szybkiego wykrywania problemów.

W aplikacji bankowej dobrze jest włączyć powiadomienia o:

płatnościach kartą,
wypłatach,
przelewach,
nieudanych próbach transakcji,
zmianach ustawień bezpieczeństwa, jeśli bank udostępnia taką funkcję.

Dzięki temu nieautoryzowana płatność może zostać zauważona po kilku sekundach zamiast podczas sprawdzania wyciągu pod koniec miesiąca.

Jeżeli zobaczysz operację, której nie rozpoznajesz, nie czekaj na kolejną. Sprawdź ją i w razie potrzeby skontaktuj się z bankiem.

Osobna karta do płatności mobilnych — kiedy może mieć sens?

Nie jest to obowiązkowe zabezpieczenie, ale niektórzy użytkownicy wolą dodać do telefonu kartę przypisaną do rachunku, na którym nie trzymają wszystkich oszczędności.

Takie rozwiązanie może ułatwiać:

kontrolę codziennych wydatków,
ustawienie niższych limitów,
szybsze zauważenie nietypowych operacji.

Nie daje jednak pełnej ochrony przed oszustwem.

Jeśli przestępca uzyska dostęp do bankowości elektronicznej, problem może wykraczać daleko poza jedną kartę dodaną do telefonu.

Limity na karcie są prostym zabezpieczeniem, o którym łatwo zapomnieć

Jeżeli kartą wydajesz zwykle kilkaset złotych dziennie, limit wielokrotnie przekraczający normalne potrzeby może nie dawać Ci żadnej praktycznej korzyści.

W aplikacji bankowej sprawdź limity:

płatności w sklepach,
transakcji internetowych,
wypłat z bankomatu,
pozostałych operacji dostępnych dla danej karty.

Nie chodzi o ustawienie limitu tak niskiego, żeby każda większa płatność kończyła się odrzuceniem.

Dobry limit powinien odpowiadać normalnemu sposobowi korzystania z karty, a w razie potrzeby można go czasowo zmienić.

Czy płatność telefonem na wakacjach wymaga dodatkowych zabezpieczeń?

Podstawowe zasady pozostają takie same, ale dochodzi problem utraty jednego urządzenia, które pełni wiele funkcji jednocześnie.

Na telefonie często znajdują się:

karta płatnicza,
bilety,
rezerwacje hotelowe,
karta pokładowa,
aplikacja bankowa,
e-mail,
numer telefonu potrzebny do autoryzacji.

Zgubienie go za granicą może więc być znacznie poważniejsze niż zgubienie samej karty.

Przed wyjazdem dobrze znać hasło do konta Apple lub Google, mieć zapisany w bezpiecznym miejscu numer banku oraz posiadać alternatywną metodę płatności przechowywaną oddzielnie.

Telefon nie powinien być jedynym sposobem dostępu do pieniędzy podczas całej podróży.

Pięć błędów, które osłabiają bezpieczeństwo płatności telefonem

1. Prosty kod ekranu

Jeżeli można go łatwo odgadnąć lub podejrzeć, pozostałe zabezpieczenia urządzenia tracą część znaczenia.

2. Zatwierdzanie komunikatów bez czytania

Biometria jest wygodna właśnie dlatego, że potwierdzenie trwa sekundę. Ta wygoda staje się wadą, gdy użytkownik nie sprawdza, co zatwierdza.

3. Instalowanie aplikacji z linków otrzymanych w wiadomościach

Bank lub operator portfela nie potrzebuje wysyłać przypadkowego pliku instalacyjnego, żeby „odblokować płatności”.

4. Brak reakcji po zgubieniu telefonu

Nawet dobrze zabezpieczone urządzenie należy możliwie szybko odnaleźć lub zablokować.

5. Trzymanie wszystkich zabezpieczeń w jednym miejscu

Hasło do banku zapisane w notatniku tego samego telefonu nie jest dobrym planem awaryjnym.

Prosty test bezpieczeństwa przed dodaniem karty do telefonu

Zanim zaczniesz płacić smartfonem, sprawdź sześć rzeczy.

Po pierwsze: telefon ma silną blokadę ekranu i skonfigurowaną biometrię.

Po drugie: system i aplikacje są aktualne.

Po trzecie: działa funkcja zdalnego lokalizowania i blokowania urządzenia.

Po czwarte: znasz hasło do konta Google lub Apple i masz możliwość odzyskania do niego dostępu bez tego konkretnego telefonu.

Po piąte: aplikacja bankowa wysyła powiadomienia o transakcjach, a limity karty odpowiadają Twoim potrzebom.

Po szóste: w zwykłych notatkach i galerii nie przechowujesz PIN-ów, haseł ani zdjęć zawierających komplet danych karty.

Jeżeli te warunki są spełnione, płacenie telefonem nie wymaga ciągłego zastanawiania się, czy ktoś właśnie próbuje „ściągnąć pieniądze przez NFC”.

Największe znaczenie ma zachowanie kontroli nad telefonem, kodem odblokowującym, kontem użytkownika i decyzjami zatwierdzanymi na ekranie. Technologia portfela może dobrze zabezpieczać dane karty, ale nie ochroni przed sytuacją, w której właściciel urządzenia sam przekazuje oszustowi kod albo potwierdza operację wykonaną pod presją.

Natalia Nowicka

Specjalistka ds. bezpieczeństwa finansowego. Tłumaczy umowy, zadłużenie i prawa konsumenta.

Jak bezpiecznie korzystać z płatności telefonem