Spis treści
Płatności zbliżeniowe stały się codziennością – krótkie przyłożenie karty lub telefonu do terminala trwa sekundy i nie wymaga PIN-u przy mniejszych kwotach. Według danych Fundacji Polska Bezgotówkowa w 2024 roku 70% transakcji w punktach handlowych realizowanych było bezgotówkowo, z czego 41% stanowiły płatności kartą, a 18% mobilne NFC. Mimo wygody technologia NFC budzi pytania: czy jest bezpieczna, czy można jej „podsłuchać” i co zrobić, gdy pojawią się nieautoryzowane transakcje? Ten artykuł odpowiada na wszystkie te pytania – bez technicznego żargonu.
NFC (Near Field Communication) to standard bezprzewodowej komunikacji krótkiego zasięgu, działający w oparciu o indukcję elektromagnetyczną. Technologia NFC działa na zasięgu do 20 centymetrów. W przeciwieństwie do Bluetooth nie wymaga procesu parowania – wystarczy zbliżyć smartfon do terminala lub innego urządzenia, aby połączenie zostało nawiązane natychmiast.
W praktyce większość czytników i terminali wymaga zbliżenia na odległość 0-5 centymetrów, a sam sygnał aktywuje się tylko w momencie zbliżenia – karta czy telefon nie „nadają” cały czas.
Jak wygląda płatność krok po kroku:
Cały proces trwa kilka sekund.
To kluczowy mechanizm bezpieczeństwa płatności zbliżeniowych, o którym większość użytkowników nie wie – choć korzysta z niego codziennie.
Gdy korzystasz z Google Pay, Apple Pay lub innego portfela cyfrowego, smartfon nie przesyła do terminala prawdziwego numeru karty. Zamiast tego przekazuje jednorazowy token, który tymczasowo zastępuje dane karty w procesie autoryzacji płatności. Dzięki temu nawet w sytuacji, gdyby ktoś próbował przechwycić sygnał między urządzeniem a terminalem, uzyskane dane byłyby całkowicie bezużyteczne.
Tokeny mogą być przypisane do jednego urządzenia, aplikacji lub nawet konkretnego sklepu internetowego. Token nie zawiera żadnych informacji, które mogłyby zostać wykorzystane do kradzieży środków, a jednocześnie pozwala przeprowadzić autoryzowaną transakcję.
Tokenizacja działa dla płatności mobilnych (Apple Pay, Google Pay, Garmin Pay). Zwykłe karty fizyczne nie używają tokenizacji przy zbliżeniowej płatności – zamiast tego polegają na szyfrowanej komunikacji EMV, limicie transakcji bez PIN-u i dodatkowych zabezpieczeniach bankowych.
W Polsce maksymalna wartość jednorazowej płatności zbliżeniowej bez PIN-u to 100 zł. Łączna suma takich płatności bez PIN-u nie może przekroczyć 150 euro (ok. 650 zł) – po jej przekroczeniu terminal zażąda autoryzacji, nawet jeśli pojedyncza transakcja nie przekracza 50 zł.
Zgodnie z przepisami bank musi wymagać uwierzytelnienia PIN-em co szóstej transakcji lub gdy łączna wartość kolejnych płatności niskokwotowych przekroczy 650 zł. Płatność może wymagać potwierdzenia PIN-em nawet przy kwocie poniżej 100 zł – jest to dodatkowe zabezpieczenie.
Przy płatnościach telefonem zasady wyglądają inaczej – każda transakcja wymaga odblokowania urządzenia (biometria lub PIN), niezależnie od kwoty. To istotna różnica w stosunku do fizycznej karty.
To najczęstsze pytanie przy omawianiu bezpieczeństwa NFC. Odpowiedź jest bardziej złożona niż „tak” lub „nie”.
Poważniejsze zagrożenie to ataki na portfele cyfrowe. Na początku 2025 roku głośno było o fałszywej aplikacji bankowej NGate, która podszywała się pod aplikację PKO BP. Po zainstalowaniu i podaniu danych użytkownik był proszony o przyłożenie karty do telefonu – co umożliwiało przechwycenie danych i wypłatę gotówki z bankomatów.
Inny rodzaj ataków – NFC relay – polega na przechwyceniu komunikacji NFC i jej przekazaniu na odległość. Przestępcy wykorzystują dwa urządzenia NFC: jedno przy ofierze, drugie przy terminalu, by „przedłużyć” zasięg karty i dokonać płatności lub wypłaty gotówki.
Podsumowanie ryzyka: fizyczne przechwycenie sygnału karty NFC jest trudne technicznie i zazwyczaj daje przestępcom ograniczone dane. Realne zagrożenia to przede wszystkim phishing (fałszywe aplikacje i strony), atak relay w zatłoczonych miejscach oraz kradzież samej karty – nie „bezprzewodowy podsłuch”.
| Aspekt | Karta fizyczna (NFC) | Telefon (Apple Pay / Google Pay) |
|---|---|---|
| Tokenizacja | Nie (dane EMV, brak tokenizacji) | Tak (jednorazowy token zamiast numeru karty) |
| Wymóg odblokowania | Nie – przyłożenie wystarczy do limitu | Tak – biometria lub PIN przy każdej transakcji |
| Limit bez PIN | 50 zł (jednorazowo), 650 zł łącznie | Brak limitu bez autoryzacji |
| Ryzyko kradzieży karty | Złodziej może płacić do limitu bez PIN | Bez odblokowania telefonu – brak możliwości płatności |
| Ryzyko skimmingu NFC | Możliwe, ograniczone zakresem danych | Znacznie niższe dzięki tokenizacji |
| Ochrona po utracie | Zastrzeżenie karty w banku | Zdalny reset portfela przez ustawienia konta |
Niezależnie od przyczyny – kradzieży karty, skimmingu czy innego ataku – schemat postępowania jest taki sam. Czas ma tu zasadnicze znaczenie.
Zadzwoń na infolinię banku lub zastrzeż kartę bezpośrednio w aplikacji mobilnej. Większość banków udostępnia opcję blokady 24/7 przez aplikację. Zastrzeżenie jest nieodwracalne – jeśli chcesz tylko tymczasowo zablokować, użyj opcji „zablokuj kartę” zamiast „zastrzeż kartę”.
Chargeback to procedura zwrotu pieniędzy w systemie Visa/Mastercard, uruchamiana przez reklamację w banku. Przy nieautoryzowanej płatności bank powinien przywrócić środki do końca następnego dnia roboczego po zgłoszeniu, a odpowiedzialność konsumenta ogranicza się do 50 euro przy zachowaniu należytej staranności, wyłącznie w przypadku utraty skradzionego lub zagubionego instrumentu płatniczego przed jego zastrzeżeniem.
Chargeback oraz nieautoryzowana płatność to są dwie różne procedury. W przypadku nieautoryzowanej transakcji podstawą dochodzenia zwrotu środków jest ustawa o usługach płatniczych. Chargeback jest natomiast procedurą organizacji Visa i Mastercard stosowaną przede wszystkim w sporach dotyczących prawidłowo autoryzowanych transakcji, np. gdy towar nie został dostarczony
Złóż reklamację w banku – najlepiej przez kanał elektroniczny, żeby mieć potwierdzenie. Artykuł 45 ustawy o usługach płatniczych przerzuca ciężar dowodu na bank – to bank musi udowodnić, że transakcja była autoryzowana, a nie konsument, że nie była. Nawet jeśli bank podejrzewa rażące niedbalstwo klienta, najpierw musi zwrócić środki, a dopiero potem dochodzić ich zwrotu.
Po odmowie zwrotu masz kilka opcji: złożenie wniosku o interwencję do Rzecznika Finansowego, skarga do UOKiK, lub dochodzenie roszczeń sądownie.
Wiedza o mechanizmach ataku to połowa sukcesu. Oto praktyczne zasady:
Dla karty fizycznej:
Dla płatności telefonem:
Ogólne zasady:
Płatności NFC są bezpieczne – przy świadomym korzystaniu. Technologia opiera się na krótkim zasięgu, szyfrowaniu i tokenizacji, które łącznie tworzą wielowarstwową ochronę trudną do obejścia. Realne ryzyko pochodzi nie z technologii samej w sobie, ale z ludzkich błędów: instalowania fałszywych aplikacji, przekazywania danych osobom trzecim i ignorowania powiadomień o transakcjach.
Jeśli zauważysz nieautoryzowaną transakcję – działaj natychmiast, prawo jest po Twojej stronie.
Tak, pod względem technicznym. W przypadku urządzeń mobilnych, takich jak telefony z Google Pay czy Apple Pay, dane karty są zastępowane tokenem (unikalnym jednorazowym kodem), co zwiększa bezpieczeństwo. Dodatkowo każda płatność telefonem wymaga odblokowania urządzenia – biometrią lub PIN-em – podczas gdy karta fizyczna przy transakcjach poniżej limitu nie wymaga żadnej dodatkowej autoryzacji.
Etui z warstwą aluminiową lub specjalną folią blokuje sygnały radiowe i uniemożliwia odczyt karty z zewnątrz. Przy kartach fizycznych to rozsądny środek ostrożności, szczególnie dla osób często podróżujących transportem publicznym. Dla płatności telefonem jest zbędne – tokenizacja i wymóg odblokowania zapewniają wyższy poziom ochrony.
W wielu bankach można dezaktywować funkcję zbliżeniową karty przez aplikację mobilną lub kontakt z infolinią. Możliwe jest też ustawienie niższego limitu transakcji zbliżeniowych lub wymuszenie PIN-u przy każdej transakcji zbliżeniowej. Opcje różnią się między bankami – sprawdź w aplikacji lub regulaminie karty.
Przy nieautoryzowanej płatności bank powinien przywrócić środki do końca następnego dnia roboczego po zgłoszeniu, a odpowiedzialność konsumenta ogranicza się do 50 euro przy zachowaniu należytej staranności. Termin ten wynika z ustawy o usługach płatniczych – bank może go kwestionować, jeśli uzna, że konsument działał rażąco niedbale (np. przekazał PIN innej osobie).
Nie. Chargeback dotyczy sporu o transakcję, którą zwykle sam wykonałeś, ale była wadliwa lub nierzetelnie rozliczona. Nieautoryzowana transakcja to płatność bez Twojej zgody i działa w reżimie ustawy o usługach płatniczych. W obu przypadkach zgłoszenie składa się w banku, ale podstawa prawna i ścieżka proceduralna są inne.
NFC nie wymaga połączenia z internetem – jest to technologia zbliżeniowa działająca lokalnie. Płatność kartą fizyczną działa bez dostępu do sieci po stronie użytkownika. Aplikacje płatnicze na telefonie (Google Pay, Apple Pay) mogą działać offline dla wcześniej skonfigurowanych kart, choć mogą wymagać okazjonalnej synchronizacji.
Powiązane artykuły