Dlaczego czasem muszę wpisać PIN? Czy mogę cofnąć transakcję? Specjalista bankowy odpowiada na nurtujące pytania o Apple Pay

Na te i inne pytania odpowiada nam specjalista ds. bezpieczeństwa z Alior Banku Marcin Gromek. Apple Pay to jedna z możliwych form płatności w tym banku, obok BLIKA, Google Pay oraz płatności HCE za pośrednictwem aplikacji mobilnej „Alior Bank” . Jeżeli macie własne wątpliwości dotyczące systemu płatności Apple’a, zachęcamy do napisania o tym w komentarzu. Postaramy się odpowiedzieć na wszystkie nurtujące was pytania dotyczące Apple Pay.

Korzystam z Apple Pay. Dlaczego czasem muszę, a zazwyczaj nie muszę wpisywać kodu PIN?

Korzystanie z usługi Apple Pay jest możliwe, jeśli na urządzeniu jest ustawiony kod dostępu oraz (opcjonalnie) użyte są czytniki biometryczne Face ID lub Touch ID. Stąd właśnie nie jest potrzebne korzystanie z PIN-u przy transakcjach – PIN-em staje się poniekąd kod dostępowy do urządzenia. Umożliwia to zwiększenie bezpieczeństwa transakcji kartą, gdyż kod dostępu do urządzenia może być dłuższy niż 4 cyfry, a nawet zawierać litery i znaki specjalne.

To, że niektóre terminale wymuszają podanie PIN-u przy transakcji wynika z ich konfiguracji. Liczymy na to, że operatorzy terminali w najbliższym czasie poprawią tę funkcjonalność.

Czy Apple Pay w Alior Banku zjada mi internetowy transfer w sieci komórkowej?

Podobnie jak zwykła karta płatnicza z możliwością płatności zbliżeniowych, karta dodana do Apple Pay nie potrzebuje dostępu do sieci komórkowej czy Wi-Fi, aby można było nią płacić. Natomiast samo dodanie karty w aplikacji Wallet (czyli umożliwienie płatności daną kartą za pomocą Apple Pay) wymaga połączenia z internetem w celu weryfikacji wprowadzonych danych z karty.

Co to jest token w Apple Pay i czy bank ma nad nim kontrolę?

Można powiedzieć, że token jest cyfrową reprezentacją karty płatniczej przechowywaną na urządzeniu w tzw. „bezpiecznym elemencie”, do którego dostęp jest bardzo ograniczony. Alior Bank nie bierze udziału w tworzeniu tokena, a jedynie wystawca karty.

Bank ma kontrolę nad tokenem w takim samym zakresie jak nad kartą, dla której został wygenerowany. Przykładowo, jeśli klient zablokuje kartę w Alior Banku, to token również zostanie zablokowany.

Czym rożni się̨ wirtualna karta Apple Pay od tej prawdziwej z perspektywy klienta?

Po pierwsze, płacąc zbliżeniowo Apple Pay nie trzeba podawać PIN-u przy transakcjach powyżej 50 zł (nie licząc niektórych terminali). Po drugie, karta dodana do Apple Pay jest reprezentowana unikalnym numerem karty (innym niż rzeczywisty), który w banku identyfikuje fizyczną kartę płatniczą. W ten sposób sklep nie pozna twojego numeru karty, co zwiększa bezpieczeństwo i prywatność transakcji.

Po trzecie, robiąc zakupy na urządzeniu z aktywnym Apple Pay w sklepie internetowym obsługującym tę metodę płatności nie trzeba wprowadzać danych karty – płatność ogranicza się do użycia kodu lub Touch ID/ Face ID. Nie jest to jeszcze niestety rozpowszechnione w Polsce.

Czy blokując albo usuwając wirtualną kartę z Apple Pay mogę sobie „zepsuć” fizyczną kartę Alior Banku?

Nie. Kartę można dodać równocześnie do wielu urządzeń i usunięcie jej z któregoś z nich nie wpływa ani na kartę fizyczną, ani na tokeny na innych urządzeniach. W drugą stronę jest inaczej – zablokowanie karty fizycznej lub zmiana limitu transakcji wpływa na wszystkie tokeny stworzone z danej karty.

Czy mogę duplikować kartę bankową na rożnych iPadach i iPhone’ach, żeby mogli z niej korzystać członkowie rodziny?

Technicznie jest to możliwe. Kartę można wykorzystać do płatności Apple Pay na dowolnym wspieranym urządzeniu. Aby ją dodać trzeba znać pełne dane karty: imię i nazwisko posiadacza, numer karty, datę ważności i kod CVV2/CVC2.

Przestrzegam jednak przed udostępnieniem danych swojej karty osobie trzeciej (nawet najbliższej), gdyż nie tylko jest to niezgodne z regulaminem kart płatniczych, ale również naraża bezpieczeństwo środków klienta. Banki wydają imienne karty przeznaczone do użytku jedynie przez właściciela.

Czy to bezpieczne integrować kartę płatniczą z Apple Pay?

Tak. Cały proces dodawania karty został tak zaprojektowany, aby był bezpieczny i równocześnie wygodny dla użytkownika. Z kolei sama transakcja Apple Pay jest co najmniej tak bezpieczna jak kartą zbliżeniową, ponieważ kod dostępu do urządzenia jest minimum czterocyfrowy, podobnie jak PIN do karty.

Czy Alior Bank ma kontrolę nad płatnościami w Apple Pay? Gdyby była potrzeba, może je unieważnić albo cofnąć?

Transakcje Apple Pay podlegają takim samym zasadom jak transakcje kartą fizyczną. Zarówno proces reklamacji, jak i chargeback.

Co się stanie, jeśli ktoś ukradnie mi smartfon/tablet/zegarek z iOS/watchOS?

Żeby móc dodać kartę do aplikacji Wallet urządzenie musi posiadać włączony kod dostępu oraz (opcjonalnie) użyte są czytniki biometryczne Face ID lub Touch ID. Nawet jeśli złodziej ukradnie nam odblokowany telefon lub tablet, to nie będzie mógł zapłacić, gdyż zatwierdzenie transakcji również wymaga użycia kodu lub czytnika biometrycznego.

Zegarek Apple Watch ma opcję Wrist Detection – po odblokowaniu co chwilę sprawdza, czy jest na nadgarstku przy pomocy czujnika tętna. Jeżeli wykryje, że został zdjęty, blokuje się do czasu wprowadzenia kodu dostępu – wraz z nim blokuje się możliwość płacenia przy pomocy Apple Pay.

Dodatkowo, można zdalnie zablokować, czy nawet wymazać urządzenie (podłączone do sieci) przypisane do swojego Apple ID przy pomocy Find My iPhone. Oczywiście można też zablokować kartę fizyczną w Alior Banku, co spowoduje zablokowanie wszystkich tokenów powiązanych z tą kartą.

Czy ktoś może ściągnąć pieniądze z mojego smartfona, przykładając do kieszeni zmodyfikowany terminal płatniczy? Podobno okrada się tak posiadaczy plastikowych kart.

W przeciwieństwie do karty zbliżeniowej, aby zapłacić przy pomocy Apple Pay na urządzeniu mobilnym nie wystarczy zbliżyć urządzenie do terminala. Transakcję trzeba potwierdzić kodem lub czytnikami biometrycznymi Touch ID lub Face ID. Ten drugi dodatkowo wymaga, aby dwa razy przycisnąć przycisk boczny na iPhonie X.

Na Apple Watchu również trzeba przycisnąć dwa razy boczny przycisk, aby zrealizować płatność (i wprowadzić kod, jeśli opcja Wrist Detection jest wyłączona). Jeśli ktoś rzeczywiście chodziłby po mieście z terminalem płatniczym przykładając go do kieszeni przechodniów, to użytkownicy Apple Pay nie są łatwym celem.

Czy jeśli zablokuję kartę plastikową w Alior Banku, to dalej mogę płacić kartą wirtualną w Apple Pay?

Nie. Tokeny stworzone na potrzeby Apple Pay są powiązane z kartą fizyczną. Zablokowanie karty w banku lub zmiana limitu transakcji wpływa na wszystkie tokeny stworzone z danej karty.

Jak to jest z Apple Pay za granicą? Jadę na wakacje i mogę płacić smartfonem?

Generalnie tak. Jeśli terminal obsługuje płatności zbliżeniowe kartami zagranicznymi, to nie będzie problemu. A bywa różnie, w zależności od kraju i terminala. Polska jest bardzo zaawansowana jeśli chodzi o transakcje zbliżeniowe. O ile u nas na lokalnym bazarku można zapłacić zbliżeniowo, to w wielu krajach, w tym europejskich, takiej możliwości nie będziemy mieć nawet w miejskich supermarketach.

Trzeba zwracać uwagę na oznaczenia w sklepach. Zdarzyło mi się, że na wakacjach w jednym sklepie zapłaciłem przy pomocy Apple Pay, a w sklepie obok terminal nie pozwalał na płatności zbliżeniowe polską kartą.

Do Apple Pay można dodać wszystkie obecnie oferowane karty Alior Banku z funkcją płatności zbliżeniowych oraz karty walutowe Kantoru Walutowego Alior Banku, które umożliwiają płatności w euro, dolarach i funtach brytyjskich.

*Materiał powstał we współpracy z marką Alior Bank.