Tokenizacja płatności polega na zastąpieniu numeru karty inną wartością, czyli tokenem. Sklep i terminal widzą token, a nie prawdziwy numer karty. Wyjaśniamy, jak działa tokenizacja karty w telefonie, kto tworzy token i co zrobić po utracie telefonu.
Co to jest tokenizacja karty płatniczej
Według organizacji EMVCo, która tworzy standardy płatności kartowych, tokenizacja usuwa z płatności numer karty. W jego miejsce trafia unikalna wartość zastępcza, czyli token płatniczy.
Token można ograniczyć do konkretnego sprzedawcy, urządzenia albo rodzaju płatności. Poza tym zakresem wykradziony token nie powinien dać się użyć.
Token nie jest jednorazowy. Visa pisze wprost, że jeden token można wykorzystać wielokrotnie. Jednorazowy jest kryptogram, czyli dynamiczny kod tworzony do każdej transakcji.
Kto tworzy token i jak bank zatwierdza kartę
Token wydaje dostawca usługi tokenizacji. Najczęściej jest nim sieć kartowa: Visa ma usługę Visa Token Service, a Mastercard usługę MDES. Dostawcą może być też wydawca karty.
Przy dodawaniu karty portfel sprawdza, czy wydawca obsługuje tokenizację. Bank zatwierdza prośbę, prosi o dodatkowe uwierzytelnienie albo ją odrzuca.
Według Europejskiego Urzędu Nadzoru Bankowego dodanie karty do portfela wymaga silnego uwierzytelnienia przez wydawcę. Samo odblokowanie telefonu odciskiem palca lub kodem nie wystarcza, jeśli bank nie kontroluje tej blokady.
Polskie banki potwierdzają dodanie karty kodem SMS albo w aplikacji. Kod SMS wysyłają np. PKO BP i Pekao. W ING dodanie karty potwierdza się w aplikacji Moje ING, a mBank wysyła kod SMS albo powiadomienie.
Google opisuje też weryfikację przez tymczasowe obciążenie rachunku. Bank blokuje niewielką kwotę z kodem w opisie transakcji, a blokada znika automatycznie. Ta metoda jest dostępna tylko w niektórych bankach.
Jak działa tokenizacja w telefonie: HCE i Secure Element
Telefon płaci zbliżeniowo przez NFC, czyli łączność krótkiego zasięgu. NFC tylko przesyła dane. Płatność chronią token, kryptogram i uwierzytelnienie na telefonie.
Portfel Google na telefonach działa w modelu HCE, czyli emulacji karty bez osobnego chipu. Dane z terminala trafiają wtedy do głównego procesora telefonu. Na zegarkach Fitbit Google korzysta z chipu Secure Element.
Google zapisuje w telefonie wirtualny numer karty, czyli token urządzenia. Każdy portfel dostaje inny numer, nawet dla tej samej karty. W aplikacji widać tylko 4 ostatnie cyfry.
Apple Pay korzysta z chipu Secure Element. Bank albo upoważniony przez niego dostawca tworzy dla urządzenia numer DAN, który trafia do tego chipu. Apple nie przechowuje oryginalnych numerów kart, a DAN nie trafia do kopii w iCloud.
Przy płatności chip przekazuje terminalowi numer DAN i dynamiczny kod zabezpieczający tej transakcji. Bank może sprawdzić, czy kod jest unikatowy i powiązany z urządzeniem.
Portfel Google nie działa na telefonie z dostępem do roota, niestandardowym systemem lub odblokowanym programem rozruchowym. Pekao informuje, że po wyłączeniu blokady ekranu Google Pay usuwa tokeny z telefonu.
Jak portfel mobilny wypada na tle karty i BLIK-a, opisujemy w tekście karta, BLIK czy portfel mobilny.
Płacenie telefonem: PIN, limity i przelewy
- Płatność potwierdza się odblokowaniem telefonu: odciskiem palca, skanem twarzy albo kodem. Portfel Google nie prosi o PIN karty.
- Wyjątkiem są przejazdy. Apple ma tryb ekspresowy, a Google pozwala płacić za transport bez odblokowania telefonu.
- Wypłatę z bankomatu telefonem potwierdza się PIN-em karty, tak opisują to mBank i ING.
- Limity płatności telefonem są takie same jak limity karty, np. w PKO BP i mBanku.
- Portfelem kartowym nie wykonuje się przelewów. Do przelewu służy aplikacja banku.
- Do płacenia w sklepie nie jest potrzebny internet, tak podają PKO BP i Visa.
Wyłączenie płatności zbliżeniowych na karcie działa różnie. W PKO BP i ING blokuje także płatności telefonem, a w mBanku nie ma na nie wpływu.
Ustawa o usługach płatniczych wymaga silnego uwierzytelnienia, czyli dwóch niezależnych elementów z trzech grup: wiedza, posiadanie i cechy użytkownika. Unijne rozporządzenie 2018/389 dopuszcza wyjątki, np. dla płatności zbliżeniowych do 50 euro.
Tokenizacja w sklepach internetowych
Token może zastąpić też kartę zapisaną w sklepie internetowym lub serwisie z subskrypcją. Według Mastercard sklep przechowuje wtedy token, a do każdej transakcji pobiera od sieci kartowej kryptogram.
Karty Visa i Mastercard obsługują też usługę Click to Pay. Pozwala ona zapłacić w internecie bez wpisywania 16-cyfrowego numeru karty.
Apple Pay w aplikacjach i na stronach także przekazuje numer DAN z dynamicznym kodem, a nie prawdziwy numer karty. Czym jest portfel elektroniczny, wyjaśnia hasło e-wallet.
Co zrobić po utracie telefonu
- Zgłoś utratę bankowi. Ustawa o usługach płatniczych nakazuje niezwłocznie zgłaszać utratę lub kradzież instrumentu płatniczego.
- Zablokuj telefon zdalnie. Apple pozwala włączyć tryb Utracony, który zawiesza Apple Pay. Google oferuje Centrum lokalizacji, dawniej Znajdź moje urządzenie.
- W razie potrzeby wymaż dane z telefonu. Według Google usunięcie danych z urządzenia usuwa z niego także dane kart.
Przed zgłoszeniem płatnik odpowiada za nieautoryzowane transakcje do równowartości 50 euro, gdy wynikają z utraty lub kradzieży instrumentu. Pełną odpowiedzialność ponosi przy umyślnym lub rażąco niedbałym naruszeniu obowiązków.
Po zgłoszeniu płatnik nie odpowiada za nieautoryzowane transakcje, chyba że doprowadził do nich umyślnie. Nieautoryzowaną transakcję trzeba zgłosić bankowi w ciągu 13 miesięcy od obciążenia rachunku.
Zastrzeżenie karty a token – różnice między bankami
| Bank | Usunięcie tokenu | Zastrzeżenie lub blokada karty | Zgłoszenie utraty telefonu |
|---|---|---|---|
| PKO BP | bank tego nie opisuje | karta znika z Portfela Google; czasowa blokada też wyłącza Google Pay | infolinia 800 302 302 albo zastrzeżenie lub usunięcie karty w serwisie internetowym |
| mBank | nie oznacza zastrzeżenia karty | bank usuwa wszystkie tokeny karty | bank usuwa token; tokeny można też usunąć w serwisie transakcyjnym |
| ING | token można czasowo zablokować, odblokować albo usunąć | czasowa blokada karty blokuje też tokeny | bank zastrzega kartę, nieodwołalnie |
| Pekao | karta plastikowa pozostaje aktywna | token zostaje zawieszony | infolinia albo samodzielne usunięcie kart z urządzenia |
Mastercard pisze, że po utracie plastikowej karty można dalej płacić tokenem. W tych czterech bankach zastrzeżenie karty wyłącza jednak jej tokeny, więc decyduje regulamin banku.
Nowy telefon – czy token można przenieść
Tokenu nie przenosi się na inny telefon. Kartę dodaje się na nowym urządzeniu ponownie i powstaje wtedy nowy token. Według EBA wydanie nowego tokenu wymaga ponownego silnego uwierzytelnienia.
- usuń karty z portfela na starym telefonie,
- przed sprzedażą lub oddaniem do serwisu przywróć ustawienia fabryczne,
- dodaj kartę na nowym telefonie i potwierdź to w banku.
Po ponownym dodaniu karta ma nowy wirtualny numer. ING ostrzega, że może to utrudnić zwrot towaru kupionego wcześniej telefonem.
Najczęstsze pytania o tokenizację płatności
To zastąpienie numeru karty unikalną wartością zastępczą, czyli tokenem. Token trafia do telefonu, zegarka lub sklepu internetowego, a sprzedawca nie widzi prawdziwego numeru karty.
Nie. Ten sam token służy do wielu płatności. Do każdej transakcji powstaje za to jednorazowy kryptogram, czyli dynamiczny kod zabezpieczający.
W PKO BP, mBanku, ING i Pekao nie. Zastrzeżenie karty wyłącza jej tokeny. W Pekao nową kartę trzeba potem dodać do portfela ponownie.
Zwykle nie. Płatność potwierdza się odblokowaniem telefonu, a Portfel Google nie prosi o PIN karty. PIN jest potrzebny przy wypłacie z bankomatu, a wyjątkowo także na terminalu.
Źródła:
- Ustawa o usługach płatniczych (t.j. Dz.U. 2026 poz. 623), art. 2, 32i, 42, 44 i 46
- Rozporządzenie delegowane Komisji (UE) 2018/389 (silne uwierzytelnianie klienta), art. 4, 11, 12 i 16
- EBA – komunikat o silnym uwierzytelnianiu w portfelach cyfrowych (31.01.2023)
- EBA – Q&A 2022_6464
- EMVCo – EMV Payment Tokenisation
- Visa – płatności mobilne
- Visa – Visa Token Service
- Visa – Click to Pay, pytania i odpowiedzi
- Mastercard – What is tokenization? (19.03.2024)
- Google – bezpieczeństwo danych karty
- Google – weryfikowanie karty w Portfelu Google
- Google – potwierdzanie tożsamości przy zakupie
- Google – przenoszenie kart w Portfelu Google
- Google Pay for issuers – HCE i Secure Element
- Apple – bezpieczeństwo i prywatność danych w Apple Pay
- PKO Bank Polski – Google Pay
- mBank – Google Pay
- mBank – regulamin korzystania z kart w urządzeniach mobilnych
- ING Bank Śląski – Apple Pay
- ING Bank Śląski – regulamin kart w portfelach cyfrowych (od 23.09.2025)
- Bank Pekao – Google Pay
- Bank Pekao – Apple Pay
Fajnie, że technologia tokenizacji zyskuje na popularności – to naprawdę duży krok w stronę bezpieczeństwa płatności mobilnych. Ciekawe, jak z czasem rozwiną się dodatkowe zabezpieczenia!
Super, że tokenizacja podnosi bezpieczeństwo transakcji! W dzisiejszych czasach to niezwykle ważne, zwłaszcza przy płatnościach zbliżeniowych. Warto pamiętać o aktualizacjach systemu — to klucz do ochrony naszych danych.
To świetne, że tokenizacja płatności telefonem tak dobrze chroni nasze dane! Dzięki temu mogę korzystać z płatności zbliżeniowych bez obaw o bezpieczeństwo. Regularne aktualizacje to naprawdę dobry pomysł, żeby zmaksymalizować ochronę.