Karta v mobilu přesouvá riziko do zařízení

Platba mobilem se často popisuje jako bezpečnější verze plastové karty. Technicky na tom něco je: obchodník obvykle nedostává skutečné číslo karty a platba stojí na tokenu svázaném s konkrétním zařízením. Jenže pro klienta tím riziko nemizí. Posouvá se z fyzické karty do telefonu, hodinek, zámku obrazovky, oznámení a schopnosti rychle poznat, že se děje něco neobvyklého.

Rozumná otázka proto nezní, zda je lepší plast nebo mobil. Lepší otázka je, co přesně se stane při ztrátě peněženky, při ztrátě telefonu a při potvrzení platby, kterou si klient spletl s něčím jiným. Každá situace má jiný slabý bod a jinou první reakci.

Token chrání číslo karty, ne celý život telefonu

Apple v bezpečnostním přehledu Apple Pay uvádí, že při platbě obchodníkovi neposílá skutečné číslo platební karty. Do terminálu jde číslo účtu zařízení a dynamický bezpečnostní kód pro konkrétní transakci. Google Peněženka pracuje obdobně s virtuální kartou: skutečné číslo karty nahrazuje náhodně vygenerované číslo, které se obchodníkovi zobrazuje místo původních údajů.

To je důležitý rozdíl proti opisování údajů z plastové karty do e-shopu nebo proti situaci, kdy někdo vidí číslo karty, platnost a bezpečnostní kód. Mobilní peněženka snižuje hodnotu dat, která by obchodník nebo napadený terminál mohl získat. Z pohledu banky a karetního schématu je digitální karta samostatný platební prostředek navázaný na zařízení, ne jen fotografie plastové karty v telefonu.

Tím ale končí jednoduchá část příběhu. Tokenizace neřeší, kdo má telefon v ruce, jak silný je zámek obrazovky, zda jsou zapnutá oznámení o platbách, komu klient telefon půjčuje ani zda útočník člověka nepřiměl k potvrzení jiné transakce. Mobilní platba tedy chrání konkrétní karetní údaje, ale zároveň dělá ze zařízení kritickou část platebního řetězce.

Zámek obrazovky je bezpečnostní parametr

Google ve své nápovědě píše, že pro placení kartou v Peněžence Google v obchodech musí být na zařízení nastaven zámek obrazovky. Apple Pay u plateb v obchodech vyžaduje ověření přes Face ID, Touch ID nebo kód zařízení, s výjimkami pro zvláštní režimy typu expresní dopravní karta. Air Bank na české stránce k placení mobilem vysvětluje, že u telefonů s Google Pay i Apple Pay nelze platit se zamknutým telefonem a při placení je potřeba mít telefon odemčený.

Pro spotřebitele je to praktičtější informace než obecná věta o bezpečnosti. Slabý čtyřmístný kód, často půjčovaný telefon, odemčené zařízení položené na stole nebo hodinky ponechané mimo kontrolu mění rizikový profil. Komerční banka proto u tokenizovaných karet výslovně radí zabezpečit telefon nebo hodinky silným PINem, otiskem prstu nebo rozpoznáním obličeje a nepůjčovat zařízení cizím osobám.

Bankovní profesionálové by z toho měli číst i komunikační poučení. Klientovi nestačí říct, že platba mobilem je bezpečná. Přesnější je vysvětlit, že bezpečnost závisí na zařízení a jeho nastavení. Mobilní peněženka může být velmi odolná proti úniku čísla karty, ale jen pokud je zařízení pod kontrolou držitele.

Ztracený telefon se řeší jinak než ztracená karta

Při ztrátě plastové karty je intuitivní reakce jasná: blokovat kartu. U mobilu je situace dvojí. Klient řeší samotné zařízení, přístup k bankovní aplikaci a digitální kartu v peněžence. Air Bank popisuje možnost v internetovém bankovnictví u konkrétní karty zobrazit zařízení, ve kterých je karta používaná, a platby z daného zařízení dočasně zamknout nebo trvale vypnout. MONETA u ztráty telefonu nebo hodinek uvádí kontaktování zákaznického servisu a žádost o blokaci nahrané platební karty v mobilu nebo hodinkách.

To ukazuje praktickou hranici mezi plastem a mobilem. Ztracená plastová karta je jeden předmět. Ztracený telefon je současně nosič digitální karty, přístupový nástroj k bankovní aplikaci, komunikační kanál pro SMS nebo push zprávy a často také e-mail, cloud a správce hesel. Rychlá reakce proto nemá končit jen u karty v peněžence. Patří k ní zablokování nebo vzdálené zabezpečení telefonu, kontrola bankovní aplikace, odebrání digitální karty ze zařízení a sledování posledních transakcí.

U hodinek je potřeba číst podmínky konkrétní peněženky. Air Bank například upozorňuje, že u některých hodinek se PIN zadává poprvé po nasazení nebo po uplynutí určité doby a další platby už mohou probíhat bez opakovaného potvrzení, dokud jsou hodinky na ruce. To nemusí být problém, ale je to jiný model rizika než telefon, který se odemyká při každé běžné interakci.

Oznámení nejsou kosmetika

Komerční banka ve své bezpečnostní stránce u tokenizovaných karet doporučuje pravidelně kontrolovat transakce a nastavit si notifikace o platbách v internetovém nebo mobilním bankovnictví. Google Peněženka v části k virtuálním kartám připomíná i nastavení oznámení v zařízení. Smysl je jednoduchý: bezpečná platba se pozná nejen podle toho, že proběhla, ale i podle toho, že ji klient rychle uvidí.

Notifikace jsou často podceňované, protože působí jako uživatelský komfort. V mobilní peněžence jsou ale součástí detekce. Pokud přijde upozornění na platbu, kterou klient nepoznává, má okamžitě řešit kartu s bankou, zkontrolovat zařízení a projít poslední autorizace. Kdo má oznámení vypnutá, zjišťuje problém až z výpisu nebo zůstatku, tedy později.

Právě zde se plast a mobil rozcházejí méně, než se zdá. I u plastové karty má rychlá detekce cenu. U mobilu je ale paradox silnější: stejný telefon platbu provádí, potvrzuje, zobrazuje notifikaci a často umožňuje i správu karty. Když je zařízení ztracené nebo kompromitované, uživatel potřebuje záložní cestu, jak se do banky dostat a digitální kartu zastavit.

Autorizovaný omyl je jiný problém

ČNB u podvodů v platebním styku upozorňuje, že významnou roli často hraje nevědomá součinnost podvedených osob, a doporučuje nespěchat, ověřovat a chránit své údaje. To je pro mobilní platby zásadní. Token chrání číslo karty před obchodníkem, ale neochrání klienta před situací, kdy sám potvrdí platbu nebo předání údajů v domnění, že jde o jiný krok.

Při ztrátě karty nebo telefonu se řeší neautorizované použití platebního prostředku. Při sociálním inženýrství se často řeší něco těžšího: klient byl přítomen, něco potvrdil a až zpětně pochopil, že byl uveden v omyl. Proto má obrazovka před potvrzením větší význam než technologie pod ní. Částka, obchodník, měna, opakované předplatné a kanál, ze kterého se člověk k platbě dostal, jsou stejně důležité jako biometrie.

Mobilní peněženka tedy není druhý účet ani univerzální štít. Je to bezpečnostně silnější způsob použití karty v některých scénářích a zároveň nový provozní závazek. Kdo ji používá, má mít silný zámek zařízení, zapnutá upozornění, přehled o tom, kde je karta nahraná, a připravený postup pro ztrátu telefonu. Plastová karta zůstává rizikem v peněžence. Karta v mobilu přesouvá část rizika do zařízení, které nosíme odemčené mnohem častěji, než si připouštíme.

Zdroje

• Apple Support, Apple Pay security and privacy overview: https://support.apple.com/en-us/101554
• Nápověda Peněženka Google, Bezpečnost platebních údajů: https://support.google.com/wallet/answer/7643925?hl=cs
• Česká národní banka, Podvody v platebním styku: https://www.cnb.cz/cs/casto-kladene-dotazy/Podvody-v-platebnim-styku/
• Komerční banka, Bezpečnost platebních karet: https://www.kb.cz/cs/podpora/bezpecnost/vase-platebni-karta
• Air Bank, Bezpečnost placení mobilem nebo hodinkami: https://www.airbank.cz/co-vas-nejvic-zajima/bezpecnost-placeni-mobilem-nebo-hodinkami/
• MONETA Money Bank, Google Pay: https://www.moneta.cz/googlepay