Platíte telefonem přes NFC a máte na zamčené obrazovce peněženku? Stačí přiložení k terminálu a někdo zaplatí za vás

Ikona Google Wallet na zamčené obrazovce vypadá nevinně. Jenže v kombinaci s NFC a nejednotným chováním bank může stát za platbou někým jiným.

Zdroj fotografie: Unsplash

Představte si situaci: stojíte v tramvaji, telefon máte v kapse a někdo k němu na zlomek sekundy přiloží platební terminál. Zaplatí se? Podle aktuální nápovědy Googlu by nemělo. Google dnes uvádí, že platby v obchodech vyžadují ověření zámkem obrazovky, ať už PINem, gestem, heslem nebo podporovanou biometrií. Jenže české bankovní návody vyprávějí jiný příběh. Některé stále popisují scénář, kdy telefon stačí rozsvítit a přiložit k terminálu a platba do 500 Kč projde bez odemčení. Právě v tomhle rozporu vzniká zmatek a právě proto stojí za to zkontrolovat, jaké chování má váš konkrétní telefon a banka.

Co přesně říká Google a co české banky

Google ve své aktuální dokumentaci komunikuje jasně: před bezkontaktní platbou v obchodě je potřeba ověřit totožnost pomocí zámku obrazovky. Pokud jste se ověřili před několika minutami, může být možné provést další platbu bez nového ověření. Jakmile platnost ověření vyprší, telefon si vyžádá nové. Výjimkou je doprava, takzvaný transit režim, kde lze ověřování pro platby za veřejnou dopravu vypnout i na zamčeném zařízení.

Pak je tu ale česká realita. UniCredit Bank na svém webu stále uvádí, že u Google Pay stačí pro platbu do 500 Kč rozsvítit nebo aktivovat obrazovku a přiložit telefon, přičemž obrazovka nemusí být odemknutá. Po třech takových platbách má při čtvrté transakci následovat výzva k odemknutí. ČSOB naopak ve svém návodu uvádí, že telefon je třeba nejprve odemknout. Dvě velké české banky tak uživateli předkládají odlišné instrukce, přestože aktuální dokumentace Googlu dnes požaduje ověření zámkem obrazovky.

To neznamená, že banka může sama vypnout bezpečnostní mechanismus Google Wallet. Spíš to ukazuje, že některé bankovní návody mohou vycházet ze staršího modelu fungování Google Pay, kdy byly u menších plateb povoleny transakce bez odemčení. Google zároveň uvádí, že banky mohou u svých karet mobilní platby omezovat.

Peněženka na zamčené obrazovce není platební tlačítko

Zkratka „Zobrazit peněženku“ na zamčené obrazovce může působit jako přímá cesta k platbě. Sama o sobě ale neznamená, že můžete v obchodě zaplatit bez ověření. Google uvádí, že pro platby v obchodech je nutné ověření zámkem obrazovky. Zkratka pouze usnadňuje přístup k Peněžence Google; bezpečnostní ověření tím nemizí.

Klíčové je pochopit, že chování NFC není na všech telefonech stejné. Záleží na kombinaci systému, výrobce zařízení, nastavení NFC a pravidel samotné platební služby:

• Pravidla Google Wallet – aktuálně vyžadují ověření zámkem obrazovky pro platby v obchodech
• Nadstavba výrobce telefonu – Samsung, Xiaomi nebo Pixel mohou NFC menu zobrazovat odlišně a některé volby vůbec nenabízet
• Nastavení banky a karty – banka může mobilní platby u svých karet omezovat a její návody mohou popisovat odlišné nebo starší chování

Právě proto se může stát, že uživatel narazí na návod, který neodpovídá tomu, co dnes uvádí Google. Nejde ale automaticky vyvozovat, že každé přiložení zamčeného telefonu k terminálu povede k provedení platby.

Proč se o tom nemluví víc

Problém není jen technický. Je také komunikační. Google v aktuální dokumentaci popisuje přísnější model ověřování, zatímco některé banky stále zveřejňují návody založené na dřívějším chování Google Pay. Výsledek? Uživatel si přečte bankovní návod, nastaví telefon podle něj a může nabýt dojmu, že malé platby bez odemčení jsou stále běžnou součástí Google Wallet. Aktuální dokumentace Googlu ale dnes popisuje jiný princip.

Navíc přepínač „Vyžadovat odemčení zařízení pro NFC“, který může fungovat jako další vrstva ochrany, není dostupný na každém telefonu. Android tuto funkci podporuje na úrovni systému, ale výrobci ji nemusí ve svém rozhraní nabídnout. U Samsungů se její dostupnost liší podle konkrétního modelu a softwaru.

Pokud ji váš telefon nabízí, najdete ji obvykle v cestě Nastavení → Připojená zařízení → Předvolby připojení → NFC → Vyžadovat odemčení zařízení pro NFC. Nejde ale o univerzální nabídku, takže její absence sama o sobě neznamená, že telefon umožňuje nezabezpečené platby.

Čtyři kroky, které zabere pět minut

Místo spoléhání na staré návody můžete udělat několik jednoduchých kontrol:

• Zkontrolujte zámek obrazovky – Nastavení → Zabezpečení a soukromí → Odemknutí zařízení → Zámek obrazovky. Bez aktivního zámku Peněženka Google bezpečné bezkontaktní platby nepovolí.
• Zapněte povinné odemčení pro NFC (pokud to váš telefon nabízí) – Nastavení → Připojená zařízení → Předvolby připojení → NFC → Vyžadovat odemčení zařízení pro NFC. Android tuto možnost podporuje, ale konkrétní výrobce ji nemusí ve svém systému zobrazovat.
• Vypněte zkratku peněženky na zamčené obrazovce, pokud ji nechcete mít na dosah. Platit telefonem budete moct dál, jen nebude Peněženka Google tak snadno dostupná ze zamčené obrazovky.
• Zkontrolujte nastavení plateb v dopravě – v Google Wallet klepněte na profilový obrázek → Nastavení Wallet → Zabezpečení → Nastavení ověření → Platby za veřejnou dopravu. Pokud MHD telefonem neplatíte, můžete ověření pro dopravu ponechat zapnuté. Pro běžné platby v obchodech se toto nastavení nepoužívá.

A jestli máte pochybnosti, zda někdo v minulosti nezaplatil bez vašeho vědomí, otevřete historii transakcí v Google Wallet, ale hlavně se podívejte do bankovního výpisu. Peněženka Google nemusí zobrazovat všechny informace o konkrétní transakci.

Srovnání s fyzickou kartou a Apple Pay

Fyzická bezkontaktní karta v Česku funguje v některých ohledech benevolentněji než aktuálně popisovaný model Google Wallet. U běžných bezkontaktních plateb může terminál do určité částky nevyžadovat PIN a po určitém počtu transakcí si ho vyžádá. U telefonu je ale navíc k dispozici systémová vrstva zabezpečení, která má zabránit použití platební karty bez ověření uživatele.

Apple Pay je v tomto ohledu nastavený odlišně. Běžná platba vyžaduje ověření přes Face ID, Touch ID nebo kód. Bez ověření funguje Express Mode, který je určený například pro podporované dopravní karty a další specifické typy karet, průkazů a klíčů.

Air Bank na svém aktuálním webu uvádí, že u plateb mobilem je potřeba mít telefon odemknutý a většinu plateb navíc potvrdit biometrií nebo PINem. Stejný princip popisuje i ve svém návodu k řešení problémů s mobilním placením.

Pět minut v nastavení telefonu vás nestojí nic. Pokud ale chcete mít jistotu, že se ztraceným nebo zamčeným telefonem nepůjde zaplatit, je lepší ověřit aktuální nastavení přímo v telefonu a řídit se současnou dokumentací Googlu a vaší banky, ne starým návodem, který mohl vzniknout ještě v době Google Pay.