Qué pasa cuando pagas acercando el móvil o la tarjeta al datáfono

Cuando acercas la tarjeta o el móvil al datáfono, los dos se comunican por radio a unos pocos centímetros con una tecnología llamada NFC. El chip de la tarjeta, o un chip de seguridad que lleva el móvil, contesta con los datos de pago y con un código que solo vale para esa operación, y tu banco lo comprueba antes de aceptar el cargo. Si pagas con el móvil, el comercio ni siquiera recibe el número de tu tarjeta, sino otro creado para ese teléfono, y el pago no sale hasta que el móvil confirma que eres tú con la cara, la huella o el código. El PIN de la tarjeta aparece cuando lo marca la normativa europea: por encima de 50 euros, o cuando acumulas demasiados pagos sin contacto sin teclearlo.

Una radio que solo funciona de cerca

NFC son las siglas de Near Field Communication, comunicación de campo cercano. Trabaja en la frecuencia de 13,56 MHz y el NFC Forum, la organización que publica sus especificaciones, le da un alcance típico de hasta 2 centímetros. Por eso hay que arrimar la tarjeta casi hasta tocar. Tiene otra particularidad. Un lado puede dar energía al otro a través de la propia conexión, y así una tarjeta sin batería funciona con la que le llega del datáfono.

Ese alcance tan corto forma parte de la seguridad. Apple explica en su guía de seguridad de plataformas que el controlador NFC del iPhone solo marca como pago sin contacto las peticiones que llegan de un terminal situado cerca.

El chip pone un código distinto en cada pago

El chip de la tarjeta sigue un estándar llamado EMV que mantiene EMVCo, y según ese organismo usa funciones criptográficas que hacen el pago más seguro que la banda magnética de siempre. La pieza central es el criptograma, un código de un solo uso. EMVCo lo dice tal cual para los pagos sin contacto, con tarjeta o con móvil: en cada transacción se genera «a one-time use security code» para proteger contra el fraude.

Apple detalla cómo se calcula ese código en el iPhone, en la página de autorización de pagos con Apple Pay. Entran en la cuenta un contador que sube con cada operación y una clave que se graba en el chip y que conocen el banco, la red de pago o los dos. Según el sistema de pago, en los pagos por NFC puede sumarse un número impredecible que aporta el propio datáfono. Tu banco recibe ese código y lo verifica antes de aprobar el cargo. Y como es de un solo uso, uno ya gastado no vale para otra compra.

El móvil no le da tu número al comercio

Al añadir una tarjeta a la cartera del móvil (Cartera en el iPhone, Google Wallet en Android) el número de la tarjeta no se queda en el teléfono. El banco o la red de pago crean un número nuevo para ese dispositivo, y es el que se usa en cada compra. A esto lo llaman tokenización. Según EMVCo, consiste en quitar el número de la tarjeta, que es lo que más vale para un estafador, y poner en su lugar un valor alternativo único. Visa describe su servicio de tokens con la misma idea, sustituir los números de tarjeta por tokens.

Ese número sustituto tiene límites a propósito. EMVCo explica que un token está atado a un comercio, un dispositivo o un tipo de pago, y que si se filtra el daño es mucho menor que si se filtra el número de la tarjeta, lo que puede ahorrar tener que cambiarla. En su página de seguridad y privacidad de Apple Pay, Apple añade que el banco puede impedir que ese número se use en una tarjeta de banda magnética, por teléfono o en webs. En el iPhone se guarda en el Secure Element, un chip aparte certificado con el proceso de evaluación de EMVCo, nunca se guarda en los servidores de Apple y no entra en la copia de iCloud. Google llama a lo mismo tarjeta virtual, con un número generado al azar que sustituye al real.

Compruébalo en tu móvil

La diferencia entre los dos números se ve en la propia cartera. En el iPhone, abre la app Cartera, toca la tarjeta y pulsa el botón «Número de la tarjeta». Según la ayuda oficial del iPhone, ahí aparecen los cuatro últimos dígitos del número de cuenta del dispositivo, que es el que se transmite al comercio, y también los de la tarjeta física si la guardaste para el relleno automático.

En Android, abre Google Wallet, toca la tarjeta de pago y, arriba, toca «Más». La ayuda de Google Wallet lo llama número de la tarjeta virtual y solo enseña sus cuatro últimos dígitos. También se ve en wallet.google.com, dentro de «Métodos de pago», con una tarjeta virtual por cada dispositivo en el que la tengas.

Compara esos cuatro dígitos con los que lleva impresos el plástico. Lo esperable es que no coincidan, porque Apple indica que el número de cuenta del dispositivo es distinto de la mayoría de números de tarjeta.

Huella, cara o código frente al PIN de la tarjeta

Con el plástico, lo que demuestra que eres tú es el PIN, y solo cuando te lo piden. Con el móvil, el pago no sale sin desbloquearlo. Apple dice que no se envía ninguna información de pago sin autenticarte con Face ID, Touch ID o el código. Google Wallet exige tener bloqueo de pantalla y acepta PIN, patrón, contraseña o biometría de clase 3. También aclara que la app no te pedirá el PIN de tu tarjeta bancaria. El PIN del que habla es el de desbloqueo del móvil.

La normativa europea llama a esto autenticación reforzada. El artículo 4 del Reglamento Delegado 2018/389 la define como dos o más elementos de categorías distintas entre conocimiento (algo que sabes), posesión (algo que tienes) e inherencia (algo que eres). Al pagar con el móvil se juntan dos de esas piezas en el mismo gesto, el teléfono que llevas encima y tu cara, tu huella o tu código. Apple pide Face ID, Touch ID o el código para cada pago, y Google Wallet no te pide nunca el PIN de la tarjeta, así que con el móvil no lo tecleas aunque el importe pase de 50 euros.

Hay una excepción pensada para no hacer cola en el metro. El reglamento permite no pedir autenticación en terminales sin personal para pagar transporte o aparcamiento (artículo 12). Apple tiene un modo exprés para tarjetas de transporte que no pide Face ID, Touch ID ni código, y Google deja quitar la verificación solo para los pagos de transporte público.

Cuándo te pedirán el PIN

La regla está en el artículo 11 del Reglamento Delegado (UE) 2018/389, aplicable desde el 14 de septiembre de 2019. No obliga a cobrar sin PIN, da al banco la posibilidad de no pedirlo en un pago sin contacto si se cumplen dos condiciones. La primera, que el pago no pase de 50 euros. La segunda es una de estas dos, porque el reglamento las da como alternativas: que lo gastado sin contacto desde la última vez que te autenticaste no supere 150 euros, o que no lleves más de cinco pagos sin contacto seguidos.

Situación	Qué te piden
Tarjeta física, pago de hasta 50 euros, sin pasar del acumulado	Nada, si tu banco aplica la exención
Tarjeta física, pago de más de 50 euros	El PIN
Tarjeta física, pago pequeño cuando el acumulado desde el último PIN pasa de 150 euros o llevas más de cinco pagos seguidos	El PIN, aunque sea un café
Móvil o reloj con la tarjeta en la cartera	Desbloquear el móvil con cara, huella o código, no el PIN de la tarjeta
Transporte o aparcamiento en terminal sin personal	Puede no pedir nada (artículo 12)

En España, según el Portal del Cliente Bancario del Banco de España, el PIN se pedía a partir de 20 euros y el límite pasó a 50 en abril de 2020. Los 50 euros son un techo y tu banco puede pedirlo antes. Si un día te piden el PIN por una barra de pan, lo más probable es que hayas tocado el límite acumulado.

Qué pasa si pierdes la tarjeta o el móvil

Con una tarjeta perdida, quien la encuentre puede pagar sin contacto importes pequeños hasta que salte alguno de esos límites y el datáfono pida el PIN. Por eso hay que bloquearla cuanto antes. El Banco de España explica que, desde que avisas a tu banco, no respondes de las operaciones que no hayas hecho tú. De las anteriores al aviso respondes hasta 50 euros, salvo que se pruebe negligencia en la custodia de la tarjeta o del PIN. El bloqueo se pide desde la app del banco, su web o el teléfono que da para estos casos. Después toca denunciar, revisar los cargos y reclamar al banco los que no reconozcas.

Con el móvil la situación es distinta, porque bloqueado no paga. Google lo dice expresamente: si el dispositivo está bloqueado, no se puede usar para comprar en tiendas. La excepción es el transporte, si quitaste esa verificación. En el iPhone, poner el teléfono en modo Perdido desde Buscar suspende Apple Pay sin cancelar tus tarjetas, y borrarlo a distancia las deja inservibles. También puedes llamar a tu banco, que puede suspender las tarjetas del móvil aunque el teléfono esté sin conexión. En Android, desde android.com/find puedes bloquear el teléfono o borrarlo, y el borrado elimina también los datos de pago.

El otro miedo habitual es que alguien te cobre acercando un lector al bolsillo. INCIBE menciona los intentos de leer o clonar tarjetas NFC y propone protecciones sencillas. Las que yo no me saltaría son estas:

• Protege el móvil con PIN, contraseña o biometría, para que nadie pueda pagar con él si te lo roban.
• Revisa tus movimientos con regularidad, porque un cargo que no reconoces se reclama mejor cuanto antes.
• No acerques el móvil a lectores NFC que no conoces y activa el NFC solo cuando lo vayas a usar.
• Deja activados Buscar en el iPhone o Localizador en Android, que sin ellos no hay bloqueo ni borrado a distancia.
• Ten localizado el teléfono de bloqueo de tu banco antes de necesitarlo.

Todo esto es para la tienda física. Cuando tecleas la tarjeta en una web viaja el número de verdad y la verificación sigue otras reglas, así que conviene repasar cómo comprar en Internet de forma segura. Y como la cartera es tan fiable como el teléfono que la lleva, INCIBE pide instalar solo apps de las tiendas oficiales. En Android, la guía sobre cuándo hace falta un antivirus explica cómo comprobar que Play Protect revisa lo que instalas.