Apple Pay і Google Pay: чи безпечніші вони за картку

Apple Pay безпека - це не маркетинговий слоган, а реальна технологічна перевага: так, платити телефоном через Apple Pay чи Google Pay безпечніше, ніж прикладати фізичну картку або вводити її номер на сайті. Причина проста: сервіс не передає продавцю справжній номер картки. Замість нього створюється токен - окремий цифровий номер, який працює тільки з вашим пристроєм і підтверджується Face ID, відбитком пальця або PIN-кодом. Навіть якщо базу магазину зламають, шахраї отримають марний набір цифр. У цій статті розберемо, як саме це працює, де межі захисту і що робити, аби не залишити шахраям жодного шансу.

Безпека оплати - лише частина безпечної покупки. Не менш важливо, як ви домовляєтесь із продавцем: ми детально розбирали, що вигідніше і безпечніше - накладений платіж чи передоплата, і висновки звідти повністю стосуються й оплати через смартфон.

Як працюють Apple Pay і Google Pay насправді?

Коли ви додаєте картку в Wallet або Google Гаманець, банк через платіжну систему (Visa чи Mastercard) генерує токен - віртуальний номер картки, прив'язаний саме до цього пристрою. Справжній номер на телефоні не зберігається. В Apple Pay токен лежить в окремому захищеному чипі Secure Element, до якого не мають доступу ні застосунки, ні навіть сама iOS. Google Pay зберігає токени переважно у хмарі Google з шифруванням і так само не передає реальний номер продавцю.

Під час оплати термінал отримує токен і одноразовий криптографічний код, що діє лише для цієї транзакції. Перехопити й повторно використати такі дані практично неможливо: код одноразовий, а токен без вашого пристрою і біометрії нічого не вартий. Саме тому витоки даних з магазинів, яких щороку стає більше, для користувачів NFC-гаманців майже не страшні.

Чому це безпечніше за звичайну пластикову картку?

Фізична картка має три вразливості, яких немає в телефона. По-перше, на ній написано все: номер, термін дії, CVV. Достатньо сфотографувати обидва боки - і шахрай може платити в інтернеті. По-друге, картку можна скімінгувати - зчитати магнітну смугу підробленим пристроєм на банкоматі чи терміналі. По-третє, безконтактний платіж карткою до певного ліміту проходить без PIN-коду, тож вкрадена картка - це одразу гроші злодія.

• Телефон не показує реквізити: номер картки не видно ні на екрані, ні продавцю, ні в чеку
• Кожен платіж вимагає Face ID, відбитка або PIN-коду пристрою - вкрадений смартфон сам по собі не платить
• Токен можна дистанційно деактивувати через Find My або Знайти пристрій, не блокуючи саму картку
• Одноразові криптограми роблять скімінг і перехоплення NFC-сигналу безглуздими

За даними НБУ [НБУ, 2025], безготівкові розрахунки становлять більшість карткових операцій в Україні, а кількість токенізованих карток у гаманцях смартфонів зростає щороку - і саме на токенізовані платежі припадає мінімальна частка шахрайських списань порівняно з операціями, де реквізити картки вводяться вручну.

Порівняння: картка, Apple Pay і Google Pay

Які ризики залишаються попри токенізацію?

Токенізація захищає сам платіж, але не захищає вас від соціальної інженерії. Найпоширеніша схема в Україні - шахрай виманює реквізити картки та SMS-код нібито для 'переказу за товар' і прив'язує ВАШУ картку до СВОГО телефона. Далі він платить вашими грошима через свій Apple Pay, і технічно всі операції виглядають легітимними.

• Фішингові сайти: оплата через гаманець на підробленому сайті все одно йде шахраю - перевірте ознаки фішингового сайту перед оплатою
• Прив'язка вашої картки до чужого пристрою через виманений SMS-код
• Слабкий код розблокування телефона: якщо хтось підглянув PIN і вкрав смартфон, він зможе додати свою біометрію
• Платежі дітей чи близьких, які знають код пристрою
• Шкідливі застосунки з правами адміністратора на Android зі сторонніх джерел

Як налаштувати Apple Pay і Google Pay максимально безпечно?

1. Встановіть складний код розблокування (6 цифр або пароль), а не 0000 чи дату народження - це останній рубіж захисту гаманця
2. Увімкніть біометрію (Face ID, Touch ID, відбиток) і не додавайте чужі відбитки чи обличчя в налаштування пристрою
3. Додавайте в гаманець окрему картку для покупок з обмеженим балансом, а не зарплатну - як саме обрати, ми писали в матеріалі про безпечну картку для покупок
4. Активуйте Find My (iPhone) або Знайти пристрій (Android), щоб мати змогу миттєво заблокувати гаманець дистанційно
5. Увімкніть сповіщення про кожну операцію в банківському застосунку - так ви помітите чуже списання за хвилини
6. Не встановлюйте застосунки з неофіційних джерел і не давайте їм доступ до спеціальних можливостей Android

Що робити, якщо телефон вкрали або загубився?

Паніка тут зайва: без вашого обличчя, пальця чи коду пристрою заплатити гаманцем неможливо. Але діяти все одно треба швидко.

1. Зайдіть з іншого пристрою на icloud.com/find або google.com/android/find і переведіть телефон у режим втрати - Apple Pay і Google Pay на ньому блокуються миттєво
2. Зателефонуйте в банк або заблокуйте картку в застосунку банку з іншого пристрою
3. Зверніться до мобільного оператора, щоб заблокувати SIM-картку - інакше шахрай може отримувати ваші SMS-коди
4. Перевірте виписку за останні години; якщо бачите чужі операції - негайно фіксуйте їх і готуйте звернення в банк
5. Якщо гроші все ж списали - діє процедура оскарження: покрокову інструкцію дивіться в гайді як зробити чарджбек

Apple Pay чи Google Pay: що захищає краще?

На практиці рівень захисту платежів однаковий: обидва сервіси використовують токенізацію стандарту EMV і не передають реквізити продавцю. Різниця в архітектурі. Apple зберігає токен в апаратному чипі Secure Element і взагалі не бачить історію ваших покупок. Google зберігає токени в захищеній хмарі, а дані транзакцій може використовувати в межах своєї екосистеми. Для Android також критично, що Google Pay працює лише на пристроях із заблокованим екраном і сертифікованою прошивкою: телефон з root-доступом гаманець зазвичай блокує.

Висновок простий: обирати сервіс за безпекою не потрібно - він визначається вашим смартфоном. Важливіше, наскільки захищений сам пристрій: код, біометрія, оновлення системи.

Чи безпечно платити Apple Pay в інтернет-магазинах?

Так, і навіть безпечніше, ніж вводити номер картки: сайт отримує токен, а підтвердження проходить на вашому пристрої. Кнопка Apple Pay чи Google Pay на касі сайту часто замінює собою перевірку 3-D Secure, бо платіж уже підтверджений біометрією. Але пам'ятайте: спосіб оплати не перевіряє чесність магазину. Якщо сайт шахрайський, гроші підуть шахраю незалежно від технології.

Для покупок із закордонних маркетплейсів діють загальні правила України 2026 року: посилки вартістю до 150 EUR не оподатковуються, а з суми перевищення сплачується 10% мита і 20% ПДВ. Оплата через Apple Pay на це ніяк не впливає - митні платежі рахуються від вартості товару. А при покупці в українських інтернет-магазинах у вас є 14 днів на повернення товару належної якості за законом про захист прав споживачів - і спосіб оплати телефоном права на повернення грошей за товар не обмежує.

Які схеми шахрайства працюють проти користувачів гаманців?

Шахраї не ламають токенізацію - вони обманюють людей. Ось схеми, які реально працюють в Україні.

• 'Покупець' з маркетплейсу надсилає посилання нібито для отримання оплати і просить ввести реквізити та код з SMS - так вашу картку прив'язують до чужого гаманця
• Фальшиві сайти-двійники служб доставки збирають дані карток під виглядом 'оплати доставки 1 грн'
• Дзвінки від 'служби безпеки банку' з проханням продиктувати код підтвердження
• Підроблені QR-коди для оплати, наклеєні поверх справжніх у громадських місцях

Якщо ви помітили операцію, якої не робили, не зволікайте: алгоритм дій ми описали в статті що робити, якщо списали гроші з картки. Чим швидше звернетесь у банк, тим вищі шанси повернути кошти.

Тож платити телефоном чи карткою?

Телефоном - однозначно. Apple Pay і Google Pay прибирають головні вразливості пластикової картки: відкриті реквізити, скімінг і безконтактні платежі без підтвердження. У редакційній перевірці офіційних сторінок підтримки Apple і Google ми переконалися: обидва сервіси прямо заявляють, що не передають продавцям номер картки, і це базовий принцип їхньої архітектури. Слабка ланка тепер не технологія, а людина: код з SMS, названий шахраю, зводить нанівець будь-яку токенізацію. Тримайте складний код на телефоні, окрему картку для покупок і здоровий скепсис до 'служб безпеки' - і платежі смартфоном будуть найбезпечнішим способом розрахунку з доступних сьогодні.

Часті запитання

Джерела

1. Apple Support - Безпека Apple Pay і конфіденційність
2. Довідка Google Wallet - Як захищені платіжні дані
3. Національний банк України - статистика безготівкових розрахунків
4. Кіберполіція України - попередження про платіжне шахрайство