Platba telefonem: NFC, tokenizace karty a limity bez PINu

Přiložíte telefon nebo hodinky k terminálu, ozve se pípnutí a platba je hotová. Za tou vteřinou stojí několik vrstev ochrany, které většina lidí nikdy nevidí. Když je znáte, snáz poznáte, co vás před zneužitím opravdu chrání, co je naopak jen zvyk a co si můžete nastavit sami.

Jak platba telefonem vůbec funguje

Přenos obstarává technologie NFC (komunikace na krátkou vzdálenost). Pracuje na frekvenci 13,56 MHz a běžně vyžaduje, aby zařízení byla od sebe nejvýš zhruba 10 centimetrů. Proto terminálu telefon nestačí ukázat, musíte ho k němu opravdu přiblížit.

NFC je jen „drát bez drátu“. Samotné placení zajišťuje peněženka v telefonu (Apple Peněženka, Google Peněženka, u hodinek obdobná aplikace) a platební karta, kterou jste do ní přidali. Terminál se na dálku zeptá, jakou kartu má použít, telefon odpoví a mezi oběma proběhne krátká výměna údajů, kterou banka vyhodnotí stejně jako platbu plastovou kartou.

Proč se nepřenáší číslo vaší karty

Klíčové slovo je tokenizace. Token je náhradní údaj, který nahrazuje citlivý údaj a sám o sobě nemá pro útočníka využitelnou hodnotu. V praxi to znamená, že obchodník ani jeho terminál nedostane skutečné číslo vaší karty, ale jeho zástupce.

U Apple Pay to funguje takto. Při přidání karty vznikne takzvané číslo účtu zařízení, které se ukládá v bezpečném čipu telefonu (Secure Element). Apple uvádí, že tohle číslo nedokáže dešifrovat, nikdy se neukládá na jeho servery a nezálohuje se do iCloudu. Původní číslo karty Apple neukládá. Při platbě se skutečné číslo karty neposílá: terminál dostane číslo účtu zařízení a jednorázový bezpečnostní kód platný jen pro tu jednu transakci.

Google Pay postupuje podobně. Místo čísla vaší karty používá virtuální číslo účtu a ke každé platbě generuje dynamický bezpečnostní kód. Aby platba fungovala, musí mít telefon nebo hodinky nastavený zámek obrazovky.

Prakticky z toho plyne jedna užitečná věc: kdyby někdo získal údaje z jedné platby, nemůže je použít k placení na internetu ani při dalším nákupu. Jednorázový kód se nedá opakovat a token je vázaný na konkrétní zařízení.

Co je bezpečnější: karta, nebo telefon

Většinou telefon, i když ne ve všem. Porovnejme nejčastější situace.

Jedno upozornění: NFC samo o sobě není šifrované proti odposlechu. Ochranu obstarává tokenizace a jednorázové kódy nad ním, ne samotný rádiový přenos. Teoreticky existují i takzvané přenosové útoky, kdy se komunikace přeposílá mezi dvěma zařízeními. Proto je dobré mít zámek zařízení a platit tak, aby se k telefonu nikdo cizí nedostal.

Ověření: kdy telefon chce Face ID a kdy ne

U Apple Pay musíte platbu potvrdit Face ID, Touch ID nebo kódem, s výjimkou zapnutého expresního režimu. Google Pay zase rozlišuje, jestli je zařízení považováno za odemčené a bezpečné (například bylo nedávno odemčeno), a jen podle toho žádá další ověření.

Co z toho plyne pro vás:

• Používejte zámek s biometrií nebo delším kódem, ne čtyři stejné číslice.
• Expresní režim nebo režim „bez potvrzení“ je pohodlný pro dopravu, ale pokud telefon ztratíte odemčený, je oslabenou pojistkou. Zvažte, jestli ho opravdu potřebujete.
• Hodinky se po sundání z ruky obvykle zamknou. Zkontrolujte v nastavení, že tuhle funkci máte zapnutou.

Limity bez PINu: co si zjistit u své banky

U plastové karty znáte situaci, kdy se drobné platby vyřídí bez PINu a po určité částce nebo po několika platbách po sobě si terminál PIN vyžádá. U telefonu je to trochu jinak: samotné odemčení, Face ID nebo otisk se počítají jako ověření držitele, takže se často platí i vyšší částky bez zadání PINu karty.

Konkrétní částky ale nenajdete jedním číslem pro celou republiku. Rozhoduje evropská regulace o silném ověření plateb, pravidla kartových společností i nastavení vaší banky, a to se časem mění. Přesné číslo proto nehledejte v článku, ale v aplikaci internetového bankovnictví, ve smlouvě ke kartě nebo v sazebníku své banky. Řada bank vám limity bezkontaktních plateb dovolí změnit nebo je úplně vypnout.

Ptejte se banky na tři věci:

• Jaký je limit jedné bezkontaktní platby bez PINu a platí stejně pro kartu i pro telefon?
• Po kolika platbách nebo po jaké součtové částce se vyžádá PIN?
• Jaký je denní a měsíční limit platby kartou a dá se snížit?

Jak platbu telefonem zapnout, omezit nebo zablokovat

Zapnutí

V Apple Peněžence nebo v Google Peněžence zvolte přidání karty, naskenujte ji nebo opište údaje a dokončete ověření, které vám banka pošle (často kódem v aplikaci banky nebo SMS). Nikdy nepřidávejte kartu na žádost cizí osoby, i když se představí jako pracovník banky.

Omezení

• Nastavte v bance nižší limity plateb kartou, pokud telefon používáte hlavně pro drobné nákupy.
• Do telefonu přidejte jen tu kartu, kterou opravdu používáte, ne všechny.
• Zkontrolujte v nastavení telefonu, co se zobrazuje na zamčené obrazovce, aby cizí člověk nevěděl, kolik a kde platíte.

Zablokování

Když telefon ztratíte, postup je stejný jako u ztráty karty, jen máte navíc jednu možnost. U iPhonu můžete pomocí služby Najít zařízení přepnout do režimu ztraceno, čímž se Apple Pay pozastaví, nebo zařízení vzdáleně vymazat. Podle Applu banka karty pozastaví i tehdy, když je zařízení offline. U Androidu lze na dálku zastavit službu přes Google Find Hub. Poté ale zavolejte i bance: token můžete odebrat nebo kartu zablokovat úplně. Podrobnosti o prvních hodinách po ztrátě najdete v článku Ztracený telefon nebo karta na dovolené.

Praktický postup u pokladny

Zkuste si zvyk, který vás nic nestojí. Před příchodem k terminálu odemkněte telefon nebo si připravte Face ID, aby platba neblokovala frontu. Přiložte zařízení zadní stranou tam, kde terminál nese symbol bezkontaktní platby, a držte ho v klidu, dokud se neobjeví potvrzení. Krátké odtažení telefonu bývá nejčastější důvod, proč platba neprojde a terminál chce zkusit znovu.

Po platbě se podívejte na potvrzení v telefonu nebo v aplikaci banky. Pokud vidíte platbu, kterou jste neudělali, kontaktujte banku ihned, ne až při měsíčním vyúčtování. Čím dřív banku upozorníte, tím lepší máte výchozí pozici při řešení sporné platby.

Chyby, které slabí ochranu i u telefonu

• Slabý zámek. Kdo zná váš kód, může platit a často i měnit nastavení.
• Nepravé zprávy. Banka vás nikdy nežádá o kód z SMS ani o vyfocení karty přes telefon. Víc o tom v článku Digitální hygiena 2026.
• Sdílený telefon. Pokud dětem půjčujete zařízení, kde je uložená vaše karta, hlídejte si i nákupy v aplikacích. Jak zařízení pro školáka nastavit, popisuje článek První zařízení pro školáka.
• Zapomenutá zařízení. Starý telefon, který prodáte nebo dáte v rodině, si před předáním odhlaste, kartu z peněženky odeberte a zařízení obnovte do továrního nastavení.

Časté otázky

Musí mít telefon při platbě připojení k internetu?

Platba probíhá mezi telefonem a terminálem, který má vlastní spojení s bankou, takže telefon sám připojení k internetu při placení obvykle nepotřebuje. Přesné chování ale může záviset na bance a typu zařízení, takže si to jednou vyzkoušejte při drobném nákupu, než na to budete spoléhat na cestách.

Může mi někdo strhnout peníze, když projde kolem s terminálem?

Dosah NFC je zhruba deset centimetrů a platba u telefonu vyžaduje odemčení nebo ověření, takže je to nepravděpodobné. Slabším místem bývá odemčený nebo nezamčený telefon a expresní režimy, ne dosah NFC.

Vidí obchodník číslo mé karty, když platím telefonem?

Ne. Terminál dostane token a jednorázový kód. U Apple Pay Apple výslovně uvádí, že skutečné číslo karty se při platbě neposílá, Google Pay používá virtuální číslo účtu.

Můžu si limit bez PINu změnit?

Často ano, v aplikaci banky nebo na pobočce. Přesné možnosti určuje vaše banka, takže se podívejte do nastavení karty nebo do sazebníku.

Co dělat, když telefon ztratím?

Nejdřív ho vzdáleně zamkněte nebo zablokujte platby přes službu hledání zařízení, poté zavolejte bance a nechte kartu nebo token zablokovat. Zkontrolujte pohyby na účtu.