Co přesně říká Google a co české banky

Google ve své aktuální dokumentaci komunikuje jasně: před bezkontaktní platbou v obchodě je potřeba ověřit totožnost pomocí zámku obrazovky. Pokud jste se ověřili před několika minutami, může být možné provést další platbu bez nového ověření. Jakmile platnost ověření vyprší, telefon si vyžádá nové. Výjimkou je doprava, takzvaný transit režim, kde lze ověřování pro platby za veřejnou dopravu vypnout i na zamčeném zařízení.

Pak je tu ale česká realita. UniCredit Bank na svém webu stále uvádí, že u Google Pay stačí pro platbu do 500 Kč rozsvítit nebo aktivovat obrazovku a přiložit telefon, přičemž obrazovka nemusí být odemknutá. Po třech takových platbách má při čtvrté transakci následovat výzva k odemknutí. ČSOB naopak ve svém návodu uvádí, že telefon je třeba nejprve odemknout. Dvě velké české banky tak uživateli předkládají odlišné instrukce, přestože aktuální dokumentace Googlu dnes požaduje ověření zámkem obrazovky.

To neznamená, že banka může sama vypnout bezpečnostní mechanismus Google Wallet. Spíš to ukazuje, že některé bankovní návody mohou vycházet ze staršího modelu fungování Google Pay, kdy byly u menších plateb povoleny transakce bez odemčení. Google zároveň uvádí, že banky mohou u svých karet mobilní platby omezovat.

Peněženka na zamčené obrazovce není platební tlačítko

Zkratka „Zobrazit peněženku“ na zamčené obrazovce může působit jako přímá cesta k platbě. Sama o sobě ale neznamená, že můžete v obchodě zaplatit bez ověření. Google uvádí, že pro platby v obchodech je nutné ověření zámkem obrazovky. Zkratka pouze usnadňuje přístup k Peněžence Google; bezpečnostní ověření tím nemizí.

Klíčové je pochopit, že chování NFC není na všech telefonech stejné. Záleží na kombinaci systému, výrobce zařízení, nastavení NFC a pravidel samotné platební služby:

• Pravidla Google Wallet – aktuálně vyžadují ověření zámkem obrazovky pro platby v obchodech
• Nadstavba výrobce telefonu – Samsung, Xiaomi nebo Pixel mohou NFC menu zobrazovat odlišně a některé volby vůbec nenabízet
• Nastavení banky a karty – banka může mobilní platby u svých karet omezovat a její návody mohou popisovat odlišné nebo starší chování

Právě proto se může stát, že uživatel narazí na návod, který neodpovídá tomu, co dnes uvádí Google. Nejde ale automaticky vyvozovat, že každé přiložení zamčeného telefonu k terminálu povede k provedení platby.

Proč se o tom nemluví víc

Problém není jen technický. Je také komunikační. Google v aktuální dokumentaci popisuje přísnější model ověřování, zatímco některé banky stále zveřejňují návody založené na dřívějším chování Google Pay. Výsledek? Uživatel si přečte bankovní návod, nastaví telefon podle něj a může nabýt dojmu, že malé platby bez odemčení jsou stále běžnou součástí Google Wallet. Aktuální dokumentace Googlu ale dnes popisuje jiný princip.

Navíc přepínač „Vyžadovat odemčení zařízení pro NFC“, který může fungovat jako další vrstva ochrany, není dostupný na každém telefonu. Android tuto funkci podporuje na úrovni systému, ale výrobci ji nemusí ve svém rozhraní nabídnout. U Samsungů se její dostupnost liší podle konkrétního modelu a softwaru.

Pokud ji váš telefon nabízí, najdete ji obvykle v cestě Nastavení → Připojená zařízení → Předvolby připojení → NFC → Vyžadovat odemčení zařízení pro NFC. Nejde ale o univerzální nabídku, takže její absence sama o sobě neznamená, že telefon umožňuje nezabezpečené platby.

Čtyři kroky, které zabere pět minut

Místo spoléhání na staré návody můžete udělat několik jednoduchých kontrol:

• Zkontrolujte zámek obrazovky – Nastavení → Zabezpečení a soukromí → Odemknutí zařízení → Zámek obrazovky. Bez aktivního zámku Peněženka Google bezpečné bezkontaktní platby nepovolí.
• Zapněte povinné odemčení pro NFC (pokud to váš telefon nabízí) – Nastavení → Připojená zařízení → Předvolby připojení → NFC → Vyžadovat odemčení zařízení pro NFC. Android tuto možnost podporuje, ale konkrétní výrobce ji nemusí ve svém systému zobrazovat.
• Vypněte zkratku peněženky na zamčené obrazovce, pokud ji nechcete mít na dosah. Platit telefonem budete moct dál, jen nebude Peněženka Google tak snadno dostupná ze zamčené obrazovky.
• Zkontrolujte nastavení plateb v dopravě – v Google Wallet klepněte na profilový obrázek → Nastavení Wallet → Zabezpečení → Nastavení ověření → Platby za veřejnou dopravu. Pokud MHD telefonem neplatíte, můžete ověření pro dopravu ponechat zapnuté. Pro běžné platby v obchodech se toto nastavení nepoužívá.

A jestli máte pochybnosti, zda někdo v minulosti nezaplatil bez vašeho vědomí, otevřete historii transakcí v Google Wallet, ale hlavně se podívejte do bankovního výpisu. Peněženka Google nemusí zobrazovat všechny informace o konkrétní transakci.

Srovnání s fyzickou kartou a Apple Pay

Fyzická bezkontaktní karta v Česku funguje v některých ohledech benevolentněji než aktuálně popisovaný model Google Wallet. U běžných bezkontaktních plateb může terminál do určité částky nevyžadovat PIN a po určitém počtu transakcí si ho vyžádá. U telefonu je ale navíc k dispozici systémová vrstva zabezpečení, která má zabránit použití platební karty bez ověření uživatele.

Apple Pay je v tomto ohledu nastavený odlišně. Běžná platba vyžaduje ověření přes Face ID, Touch ID nebo kód. Bez ověření funguje Express Mode, který je určený například pro podporované dopravní karty a další specifické typy karet, průkazů a klíčů.

Air Bank na svém aktuálním webu uvádí, že u plateb mobilem je potřeba mít telefon odemknutý a většinu plateb navíc potvrdit biometrií nebo PINem. Stejný princip popisuje i ve svém návodu k řešení problémů s mobilním placením.

Pět minut v nastavení telefonu vás nestojí nic. Pokud ale chcete mít jistotu, že se ztraceným nebo zamčeným telefonem nepůjde zaplatit, je lepší ověřit aktuální nastavení přímo v telefonu a řídit se současnou dokumentací Googlu a vaší banky, ne starým návodem, který mohl vzniknout ještě v době Google Pay.

Ačkoliv už je dnes standard NFC podporován i u levných telefonů (ale třeba Xioami ho dlouho nemělo), stále existují takové, s nimiž zkrátka přiložením k terminálu nezaplatíte. Ano, je jich už spíše hrstka, ale přece si někteří uživatelé vydržují svůj starý telefon, který to nikdy neuměl, případně si kupují ten bez NFC. Moc možností, jak s ním poté platit, sice není, ale redakce Mobify sestavila několik způsobů vyzkoušených v praxi, jak toho docílit.

Zaplaťte přes QR kód

V klasických obchodech to fungovat nebude, tam mají pouze klasické terminály, ale možnost podporuje dost hospod, barů a restaurací, stejně jako stánkařů. Funguje to jednoduše tak, že načtete obsluhou předložený QR kód, z něhož si bankovní aplikace načte číslo účtu, načež zadáte částku a platbu potvrdíte. Nejedná se o nic jiného než o převod peněz na účet. A Mobify připomíná, že pokud máte povoleny okamžité platby, jsou peníze připisovány ihned.

Využijte náramek nebo hodinky s NFC

Toto asi není pro některé moc žádoucí, ale rozhodně to je nejpohodlnější, a ne až tak drahý způsob. Technologii NFC totiž podporují i mnohé náramky za pár stovek a fungují spolehlivě. V telefonu přitom stačí nainstalovat aplikaci a do té přidat platební kartu, s níž můžete poté platit v obchodech (a kdekoliv jinde) pouze přiložením náramku k terminálu. Bezpečné to je, před každou transakcí je totiž vyžadováno zadání číselného kódu.

Karta nebo platební nálepka v krytu

Starý zvyk stále funguje dobře, i když už se dnes moc nenosí. Vložit platební kartu, případně platební nálepku (což je vlastně zmenšená karta právě pro placení v obchodech, ale zájem o ni už skoro není) do krytu / obalu telefonu bylo dříve běžné. Mobify připomíná, že k tomu stále existují tzv. knížková pouzdra, která mají v přední části prostor pro různé karty, doklady apod. Jistě, stoupá tím riziko, že když ztratíte telefon, tak s ním i ten zbytek.

Elektronické zámky jsou stále oblíbenějším řešením, jak odemykat dům nebo kancelář, protože není třeba nosit klíče, ale postačí k tomu telefon. Dříve šlo přitom o doménu hotelů, v nichž je dnes zámek na kartu standardem. Redakce Mobify přitom zaznamenala u Unsaflok, že právě toho mohou zneužít hackeři, kteří dokáží využít technologie NFC ke zfalšování klíče teoreticky k jakémukoliv zámku. A stačí jim k tomu jenom software v telefonu s operačním systémem Android.

Zatím se to týká „pouze“ 3 milionů zámků

Výzkumníci, kteří se zaměřují právě na zjišťování bezpečnostních hrozeb, objevili významnou chybu v elektronických RFID zámcích Saflok, které jsou oblíbené právě v hotelích. A buďme rádi, že s tím přišli právě takoví lidé, a ne rovnou hacker (či jiný útočník), ačkoliv není jasné, zda této metody rovněž nevyužívají – je to nicméně pravděpodobné, jelikož nejde o nic převratného, ale ne každý zámek lze takto obejít.

Metoda konkrétně umožňuje naklonovat hotelovou kartu pomocí telefonu s Android OS, k čemuž útočník potřebuje tu původní (originální), která by sice měla fungovat jako jediná – standardně obsahuje nějaký identifikátor, který systém detekuje vždy, když ji někdo použije – ale kvůli chybě v dotčených zámcích může fungovat i její duplikát, vysvětluje TechSpot. Bezpečnostní chybu má aktuálně kolem 3 milionů zámků ve 131 zemích.

Nebezpečí se má týkat zámků Saflok MT, Quantum Series, RT Series, Saffire Series a Confidant Series, a vlastně i všech ostatních zámků Saflok, přičemž nejběžnější jsou Saflok MT a Saflok RT. Je mi jasné, že vám toto nic neřekne – stejně jako mně – třeba je tu ale někdo, kdo má zrovna na starosti bezpečnost v nějakém hotelu, ačkoliv předpokládám, že ho o této chybě již zpravil sám výrobce, případně dodavatel jeho řešení.

Společnost stále nesjednala nápravu, tak pozor

Ačkoliv byl výrobce o této bezpečnostní chybě informován a slíbil ji opravit, stalo se tak nakonec pouze u 36 % zámků, jak dodává TechSpot zmíněný výše. U těch proběhla aktualizace softwaru, která znemožňuje odemčení duplikátem, což je fajn – jenomže zbytek elektronických zámků zůstává zranitelný. Alespoň však nejdou vizuálně rozeznat, takže by útočník musel jít vyloženě na jistotu.

Na druhou stranu výrobce uklidnil tím, že je takové zneužití velmi ojedinělé, protože nebývá snadné se k originální kartě dostat – nejspíše by to musel mít na svědomí některý ze zaměstnanců hotelu, například sám „bezpečák“, případně recepční, pokojská apod. Osobně jsem nicméně trochu nesvůj už jenom z té představy, že by mi mohla do pokoje vstoupit nepovolaná osoba.

Redakce Mobify doporučuje uchovávat cennosti v trezoru, který by měl být standardem u každého tří, nebo vícehvězdičkového hotelu. Standardně přitom bývá přilepen ke skříni, takže by ho ani nemělo být snadné vydolovat. Osobně tam schovávám na dovolených i notebook, pokud se vejde, a nikdy se mi nestalo, že bych o něco přišel (ale to ani u volně ležících věcí).