Mobilní platební systémy disponují bezpečnostními vrstvami, které fyzické karty prostě nemají.
Juan Carlos Galindo, odborník na vyšetřování ekonomické a kybernetické kriminality, nedávno veřejně vysvětlil, proč jsou platby fyzickou kartou ve skutečnosti méně bezpečné než používání mobilních platebních platforem. Jeho slova by měla uklidnit každého, kdo stále váhá, zda svůj telefon využít i k placení.
Mnozí technologičtí nadšenci znají tuto situaci: vidíte někoho blízkého, jak v obchodě vytahuje plastovou kartu, a ptáte se – proč neplatí mobilem? Ať už jde o iPhone nebo telefon s Androidem, obě platformy dnes nabízejí pohodlné a bezpečné platební řešení. Nejčastější odpovědí bývá „nevěřím tomu“. Galindovy argumenty však ukazují, že by to mělo být přesně naopak.
Proč je fyzická karta zranitelnější
Galindo celý problém shrnuje jednoduchou větou: „U karty je identifikátor transakce pokaždé stejný.“ V tom spočívá zásadní rozdíl mezi platbou plastovou kartou a telefonem.
Obě metody sice komunikují s platebním terminálem prostřednictvím technologie NFC, tedy bezkontaktního přenosu dat na krátkou vzdálenost, ale způsob nakládání s přenášenými informacemi se podstatně liší. Fyzická karta při každé transakci odesílá stále stejný identifikátor, který je s ní pevně svázán. Mobilní platba naproti tomu tento identifikátor nahrazuje dočasným kódem, který se neustále mění.
Právě na to poukazuje Galindo slovy, že „telefon se při každém použití identifikuje jiným kódem“. Tento postup odborníci označují jako tokenizaci – skutečné údaje karty se nahradí virtuálním identifikátorem, který mimo danou konkrétní transakci nemá žádnou hodnotu.
Co to v praxi znamená pro bezpečnost
I kdyby se kyberzločincům podařilo zachytit data proudící mezi telefonem a terminálem, nemohli by je znovu použít k dalším platbám. Jednorázový kód ztrácí platnost okamžikem dokončení nákupu, čímž se riziko klonování karty dramaticky snižuje.
Analytici v oblasti bezpečnosti však upozorňují, že ani mobilní platby nejsou stoprocentně neprůstřelné. Před několika měsíci výzkumníci odhalili útok zneužívající specifickou zranitelnost „dopravního režimu“ Apple Pay v kombinaci s určitými kartami Visa. Jednalo se však o velmi úzce vymezený scénář vyžadující specializovaný hardware, který neumožňoval klonování karty ani narušení běžného fungování Apple Pay.
Stejně tak je třeba zdůraznit, že platba fyzickou kartou není sama o sobě nebezpečná. Finanční instituce zavádějí řadu ochranných mechanismů, které brání zneužití. Mobilní platební systémy typu Apple Pay však přidávají další bezpečnostní vrstvu tím, že skutečné číslo karty se nikdy nedostane k obchodníkovi a není použito během samotné transakce.
Jak Apple Pay posouvá ochranu ještě dál
Při každém nákupu ověřeném pomocí Face ID, Touch ID nebo kódu zařízení odesílá Apple Pay virtuální identifikátor spolu s dynamickým bezpečnostním kódem, který se generuje náhodně a výhradně pro danou platbu. Skutečné číslo karty se tak nikdy nepřenáší směrem k obchodníkovi.
Apple ve své platební platformě důsledně uplatňuje filozofii maximální ochrany soukromí. Po přidání karty do iPhonu zařízení neukládá její skutečné číslo. Místo toho banka vytvoří jedinečný identifikátor vázaný výhradně na dané zařízení, který je uložen v takzvaném Secure Element – izolovaném čipu odděleném od zbytku operačního systému, k němuž nemá přístup ani samotný Apple.
K tomu všemu se přidává ještě biometrické ověření totožnosti. S výjimkou specifických případů, jako jsou některé karty nastavené ve zmíněném dopravním režimu, vyžaduje každá platba potvrzení pomocí Face ID, Touch ID nebo bezpečnostního kódu iPhonu. Případný zloděj by tedy musel nejen fyzicky získat zařízení, ale navíc překonat tuto autentizační bariéru, aby mohl platbu dokončit.