Chcę pożyczkę

Płatności zbliżeniowe NFC – jak działają i co zrobić, gdy ktoś przechwyci dane karty?

Płatności zbliżeniowe stały się codziennością – krótkie przyłożenie karty lub telefonu do terminala trwa sekundy i nie wymaga PIN-u przy mniejszych kwotach. Według danych Fundacji Polska Bezgotówkowa w 2024 roku 70% transakcji w punktach handlowych realizowanych było bezgotówkowo, z czego 41% stanowiły płatności kartą, a 18% mobilne NFC. Mimo wygody technologia NFC budzi pytania: czy jest bezpieczna, czy można jej „podsłuchać” i co zrobić, gdy pojawią się nieautoryzowane transakcje? Ten artykuł odpowiada na wszystkie te pytania – bez technicznego żargonu.

Czym jest NFC i jak działa w praktyce?

NFC (Near Field Communication) to standard bezprzewodowej komunikacji krótkiego zasięgu, działający w oparciu o indukcję elektromagnetyczną. Technologia NFC działa na zasięgu do 20 centymetrów. W przeciwieństwie do Bluetooth nie wymaga procesu parowania – wystarczy zbliżyć smartfon do terminala lub innego urządzenia, aby połączenie zostało nawiązane natychmiast.

W praktyce większość czytników i terminali wymaga zbliżenia na odległość 0-5 centymetrów, a sam sygnał aktywuje się tylko w momencie zbliżenia – karta czy telefon nie „nadają” cały czas.

Jak wygląda płatność krok po kroku:

  1. Zbliżasz kartę lub odblokowany telefon do terminala.
  2. Terminal wysyła sygnał do urządzenia i żąda danych do autoryzacji.
  3. Urządzenie odpowiada – nie numerem karty, ale zaszyfrowanym tokenem (więcej o tokenizacji poniżej).
  4. Terminal przekazuje dane do systemu płatności, który weryfikuje transakcję.
  5. Środki są pobierane z rachunku, a na terminalu pojawia się potwierdzenie.

Cały proces trwa kilka sekund.

Co to jest tokenizacja i dlaczego chroni Twoje dane?

To kluczowy mechanizm bezpieczeństwa płatności zbliżeniowych, o którym większość użytkowników nie wie – choć korzysta z niego codziennie.

Gdy korzystasz z Google Pay, Apple Pay lub innego portfela cyfrowego, smartfon nie przesyła do terminala prawdziwego numeru karty. Zamiast tego przekazuje jednorazowy token, który tymczasowo zastępuje dane karty w procesie autoryzacji płatności. Dzięki temu nawet w sytuacji, gdyby ktoś próbował przechwycić sygnał między urządzeniem a terminalem, uzyskane dane byłyby całkowicie bezużyteczne.

Tokeny mogą być przypisane do jednego urządzenia, aplikacji lub nawet konkretnego sklepu internetowego. Token nie zawiera żadnych informacji, które mogłyby zostać wykorzystane do kradzieży środków, a jednocześnie pozwala przeprowadzić autoryzowaną transakcję.

Tokenizacja działa dla płatności mobilnych (Apple Pay, Google Pay, Garmin Pay). Zwykłe karty fizyczne nie używają tokenizacji przy zbliżeniowej płatności – zamiast tego polegają na szyfrowanej komunikacji EMV, limicie transakcji bez PIN-u i dodatkowych zabezpieczeniach bankowych.

Limity i PIN – jak działa autoryzacja przy płatnościach NFC?

W Polsce maksymalna wartość jednorazowej płatności zbliżeniowej bez PIN-u to 100 zł. Łączna suma takich płatności bez PIN-u nie może przekroczyć 150 euro (ok. 650 zł) – po jej przekroczeniu terminal zażąda autoryzacji, nawet jeśli pojedyncza transakcja nie przekracza 50 zł.

Zgodnie z przepisami bank musi wymagać uwierzytelnienia PIN-em co szóstej transakcji lub gdy łączna wartość kolejnych płatności niskokwotowych przekroczy 650 zł. Płatność może wymagać potwierdzenia PIN-em nawet przy kwocie poniżej 100 zł – jest to dodatkowe zabezpieczenie.

Przy płatnościach telefonem zasady wyglądają inaczej – każda transakcja wymaga odblokowania urządzenia (biometria lub PIN), niezależnie od kwoty. To istotna różnica w stosunku do fizycznej karty.

Czy dane karty NFC można przechwycić?

To najczęstsze pytanie przy omawianiu bezpieczeństwa NFC. Odpowiedź jest bardziej złożona niż „tak” lub „nie”.

  • Teoria kontra praktyka przy kartach fizycznych: zasięg NFC wynosi standardowo kilka centymetrów, co teoretycznie utrudnia przechwycenie. Jednak badania wskazują, że przy specjalistycznym sprzęcie możliwe jest odczytanie pewnych danych z karty z odległości do kilkudziesięciu centymetrów – choć nie pozwala to na wykonanie pełnej transakcji z uwagi na brakujący kod CVV i dynamiczne zabezpieczenia EMV.
  • Rzeczywiste zagrożenia w 2025-2026: od lat krążą ostrzeżenia o skimmingu NFC – przechwytywaniu danych karty ofiary bez jej wiedzy. Scenariusz realizowany jest najczęściej w zatłoczonych miejscach: centra handlowe, środki transportu publicznego, koncerty. Atakujący musi zbliżyć ukryty czytnik do portfela ofiary.

Poważniejsze zagrożenie to ataki na portfele cyfrowe. Na początku 2025 roku głośno było o fałszywej aplikacji bankowej NGate, która podszywała się pod aplikację PKO BP. Po zainstalowaniu i podaniu danych użytkownik był proszony o przyłożenie karty do telefonu – co umożliwiało przechwycenie danych i wypłatę gotówki z bankomatów.

Inny rodzaj ataków – NFC relay – polega na przechwyceniu komunikacji NFC i jej przekazaniu na odległość. Przestępcy wykorzystują dwa urządzenia NFC: jedno przy ofierze, drugie przy terminalu, by „przedłużyć” zasięg karty i dokonać płatności lub wypłaty gotówki.

Podsumowanie ryzyka: fizyczne przechwycenie sygnału karty NFC jest trudne technicznie i zazwyczaj daje przestępcom ograniczone dane. Realne zagrożenia to przede wszystkim phishing (fałszywe aplikacje i strony), atak relay w zatłoczonych miejscach oraz kradzież samej karty – nie „bezprzewodowy podsłuch”.

Karta fizyczna vs. płatność telefonem pod względem bezpieczeństwa NFC

Aspekt Karta fizyczna (NFC) Telefon (Apple Pay / Google Pay)
Tokenizacja Nie (dane EMV, brak tokenizacji) Tak (jednorazowy token zamiast numeru karty)
Wymóg odblokowania Nie – przyłożenie wystarczy do limitu Tak – biometria lub PIN przy każdej transakcji
Limit bez PIN 50 zł (jednorazowo), 650 zł łącznie Brak limitu bez autoryzacji
Ryzyko kradzieży karty Złodziej może płacić do limitu bez PIN Bez odblokowania telefonu – brak możliwości płatności
Ryzyko skimmingu NFC Możliwe, ograniczone zakresem danych Znacznie niższe dzięki tokenizacji
Ochrona po utracie Zastrzeżenie karty w banku Zdalny reset portfela przez ustawienia konta

Co zrobić, gdy zauważysz nieautoryzowaną transakcję?

Niezależnie od przyczyny – kradzieży karty, skimmingu czy innego ataku – schemat postępowania jest taki sam. Czas ma tu zasadnicze znaczenie.

Krok 1 – natychmiast zastrzeż kartę

Zadzwoń na infolinię banku lub zastrzeż kartę bezpośrednio w aplikacji mobilnej. Większość banków udostępnia opcję blokady 24/7 przez aplikację. Zastrzeżenie jest nieodwracalne – jeśli chcesz tylko tymczasowo zablokować, użyj opcji „zablokuj kartę” zamiast „zastrzeż kartę”.

Krok 2 – zgłoś transakcję jako nieautoryzowaną

Chargeback to procedura zwrotu pieniędzy w systemie Visa/Mastercard, uruchamiana przez reklamację w banku. Przy nieautoryzowanej płatności bank powinien przywrócić środki do końca następnego dnia roboczego po zgłoszeniu, a odpowiedzialność konsumenta ogranicza się do 50 euro przy zachowaniu należytej staranności, wyłącznie w przypadku utraty skradzionego lub zagubionego instrumentu płatniczego przed jego zastrzeżeniem.

Chargeback oraz nieautoryzowana płatność to są dwie różne procedury. W przypadku nieautoryzowanej transakcji podstawą dochodzenia zwrotu środków jest ustawa o usługach płatniczych. Chargeback jest natomiast procedurą organizacji Visa i Mastercard stosowaną przede wszystkim w sporach dotyczących prawidłowo autoryzowanych transakcji, np. gdy towar nie został dostarczony

Krok 3 – złóż pisemną reklamację

Złóż reklamację w banku – najlepiej przez kanał elektroniczny, żeby mieć potwierdzenie. Artykuł 45 ustawy o usługach płatniczych przerzuca ciężar dowodu na bank – to bank musi udowodnić, że transakcja była autoryzowana, a nie konsument, że nie była. Nawet jeśli bank podejrzewa rażące niedbalstwo klienta, najpierw musi zwrócić środki, a dopiero potem dochodzić ich zwrotu.

Krok 4 – jeśli bank odmówi

Po odmowie zwrotu masz kilka opcji: złożenie wniosku o interwencję do Rzecznika Finansowego, skarga do UOKiK, lub dochodzenie roszczeń sądownie.

Jak skutecznie chronić się przed zagrożeniami NFC?

Wiedza o mechanizmach ataku to połowa sukcesu. Oto praktyczne zasady:

Dla karty fizycznej:

  • Trzymaj kartę w portfelu lub etui blokującym sygnał RFID/NFC – utrudnia to fizyczny odczyt z odległości.
  • Ustaw niski limit transakcji zbliżeniowych bez PIN – możesz to zrobić w aplikacji bankowej.
  • Rozważ wyłączenie funkcji zbliżeniowej karty, jeśli jej nie używasz – wiele banków udostępnia tę opcję w aplikacji.

Dla płatności telefonem:

  • Instaluj aplikacje bankowe wyłącznie z oficjalnych źródeł (App Store, Google Play) – fałszywe aplikacje to realne zagrożenie.
  • Zachowaj ostrożność podczas instalowania aplikacji i nigdy nie udostępniaj danych karty przez telefon czy internet.
  • Nigdy nie przykładaj telefonu do nieznanego urządzenia na czyjąś prośbę.
  • Włącz powiadomienia push o każdej transakcji – szybko wychwycisz nieautoryzowane płatności.

Ogólne zasady:

  • Sprawdzaj wyciągi i historię transakcji regularnie – nie tylko gdy coś „pójdzie nie tak”.
  • W tłumie trzymaj portfel z kartami w wewnętrznej kieszeni, nie w tylnej kieszeni spodni.
  • Jeśli terminal wydaje się zmodyfikowany lub uszkodzony, nie płać – zgłoś to kasjerowi.

Co zapamiętać o bezpieczeństwie płatności NFC?

Płatności NFC są bezpieczne – przy świadomym korzystaniu. Technologia opiera się na krótkim zasięgu, szyfrowaniu i tokenizacji, które łącznie tworzą wielowarstwową ochronę trudną do obejścia. Realne ryzyko pochodzi nie z technologii samej w sobie, ale z ludzkich błędów: instalowania fałszywych aplikacji, przekazywania danych osobom trzecim i ignorowania powiadomień o transakcjach.

Jeśli zauważysz nieautoryzowaną transakcję – działaj natychmiast, prawo jest po Twojej stronie.

Płatności zbliżeniowe NFC – najczęściej zadawane pytania

Czy płatność telefonem jest bezpieczniejsza niż kartą zbliżeniową?

Tak, pod względem technicznym. W przypadku urządzeń mobilnych, takich jak telefony z Google Pay czy Apple Pay, dane karty są zastępowane tokenem (unikalnym jednorazowym kodem), co zwiększa bezpieczeństwo. Dodatkowo każda płatność telefonem wymaga odblokowania urządzenia – biometrią lub PIN-em – podczas gdy karta fizyczna przy transakcjach poniżej limitu nie wymaga żadnej dodatkowej autoryzacji.

Co to jest etui blokujące RFID/NFC – czy warto je mieć?

Etui z warstwą aluminiową lub specjalną folią blokuje sygnały radiowe i uniemożliwia odczyt karty z zewnątrz. Przy kartach fizycznych to rozsądny środek ostrożności, szczególnie dla osób często podróżujących transportem publicznym. Dla płatności telefonem jest zbędne – tokenizacja i wymóg odblokowania zapewniają wyższy poziom ochrony.

Czy można wyłączyć NFC w karcie płatniczej?

W wielu bankach można dezaktywować funkcję zbliżeniową karty przez aplikację mobilną lub kontakt z infolinią. Możliwe jest też ustawienie niższego limitu transakcji zbliżeniowych lub wymuszenie PIN-u przy każdej transakcji zbliżeniowej. Opcje różnią się między bankami – sprawdź w aplikacji lub regulaminie karty.

Jak szybko bank musi zwrócić środki z nieautoryzowanej transakcji?

Przy nieautoryzowanej płatności bank powinien przywrócić środki do końca następnego dnia roboczego po zgłoszeniu, a odpowiedzialność konsumenta ogranicza się do 50 euro przy zachowaniu należytej staranności. Termin ten wynika z ustawy o usługach płatniczych – bank może go kwestionować, jeśli uzna, że konsument działał rażąco niedbale (np. przekazał PIN innej osobie).

Czy chargeback i reklamacja nieautoryzowanej transakcji to to samo?

Nie. Chargeback dotyczy sporu o transakcję, którą zwykle sam wykonałeś, ale była wadliwa lub nierzetelnie rozliczona. Nieautoryzowana transakcja to płatność bez Twojej zgody i działa w reżimie ustawy o usługach płatniczych. W obu przypadkach zgłoszenie składa się w banku, ale podstawa prawna i ścieżka proceduralna są inne.

Czy NFC działa bez internetu?

NFC nie wymaga połączenia z internetem – jest to technologia zbliżeniowa działająca lokalnie. Płatność kartą fizyczną działa bez dostępu do sieci po stronie użytkownika. Aplikacje płatnicze na telefonie (Google Pay, Apple Pay) mogą działać offline dla wcześniej skonfigurowanych kart, choć mogą wymagać okazjonalnej synchronizacji.

Źródła

Może cię zainteresować

Kup teraz, zapłać później BNPL

„Kup teraz, zapłać później” – jak działa BNPL i kiedy ma sens?

BNPL to dobre rozwiązanie wtedy, gdy chcesz spokojnie obejrzeć towar, nie zamrażać własnych środków i masz pewność, że spłacisz całość w terminie. Gdy korzystasz z kilku takich płatności naraz, łatwo …
płatność blikiem

Płatności BLIK-iem – jak z nich korzystać i czy są bezpieczne?

Ponad 21 milionów Polaków aktywnie korzysta z BLIK-a, a w pierwszym kwartale 2026 roku system obsłużył 756 milionów transakcji o wartości 117 miliardów złotych. To rodzimy wynalazek, który zmienił spo…
dyrektywa CCD II

CCD II wchodzi w życie – nowe prawa konsumentów przy pożyczkach od 2026

Dyrektywa CCD II to największa zmiana w prawie kredytowym od ponad dekady. Nowe przepisy, które zaczną obowiązywać 20 listopada 2026 roku, obejmą nie tylko klasyczne kredyty bankowe, ale też pożyczki …
przelew na konto innej osoby

Czy przelew pożyczki na konto innej osoby jest możliwy?

W pożyczkach online wypłata środków najczęściej trafia na rachunek należący do pożyczkobiorcy albo do niego współnależący. Powód jest prosty - instytucja finansowa musi zweryfikować tożsamość klienta,…
Wyślij wniosek