Apple Pay: что это такое и как им пользоваться в России

Apple Pay — платежная система, которая позволяет оплачивать товары в магазинах, прикладывая мобильное устройство Apple к терминалу. Система работает по протоколу NFC и только на терминалах, принимающих бесконтактные платежи (они должны иметь метку PayPass или PayWave). Система совместима только с моделями старше iPhone 6, включая iPhone SE, а также с Apple Watch. В последнем случае систему получится настроить через iPhone 5, 5s и 5c.

Чтобы заплатить, нужно поднести гаджет к терминалу, выбрать в приложении карту и приложить палец к датчику Touch ID. На Apple Watch платеж запускается двойным нажатием на кнопку питания и не требует специальной авторизации. Ни Apple Pay, ни другие платежные сервисы не берут комиссию.

Платежи через айфон принимают в магазинах «Азбука вкуса», «Атак», «Ашан», «Магнит», «М.Видео», Media Markt, re:Store, в ЦУМе, на заправках BP, в билетных кассах «Аэроэкспресса». В ближайшее время системы появятся в магазинах «Эльдорадо» и закусочных Burger King. Возможно, оплатить покупки со смартфона получится и в других магазинах, где есть терминалы с поддержкой PayPass или PayWave. Ранее «Ведомости» сообщали, что Apple Pay также тестировали в магазинах «Дикси» и «Виктория».

Для айфона карточки привязываются в приложении Wallet. Система по умолчанию подключает карты, которые были ранее привязаны к аккаунту в iTunes, но можно добавить еще до семи дебетовых или кредитных карт. Данные вводятся как вручную, так и автоматически, с помощью камеры. Для платежей через часы нужно внести данные карты в приложении «Мои часы» в пункте «Wallet и Apple Pay». Часы также разрешают платить с разных карточек.

На момент запуска Apple Pay работает только с дебетовыми и кредитными картами MasterCard, которые выпустил Сбербанк. Ранее сообщалось, что партнерами в России будут Сбербанк, Райффайзенбанк, «Яндекс.Деньги», «Тинькофф», Бинбанк, «Открытие» и «ВТБ 24». Позже в Wallet разрешат добавлять бонусные и кредитные карты магазинов. В США сервис работает и с MasterCard, и с Visa.

С марта этого года Apple Pay оплачивает покупки в интернете, но только в браузере Safari на макбуках с macOS Sierra, айфонах и айпэдах (iPad Air 2, mini 3, mini 4 и Pro). Кнопка Apple Pay появится не на всех сайтах, а только на тех, которые внедрили API. Утверждение платежа также происходит или через айфон, или через Apple Watch (на них приходит запрос, который подтверждается отпечатком пальца). Поэтому пользователю следует ограничиться одной учетной записью в iCloud. Apple Pay есть в некоторых приложениях (тоже только в тех, которые внедрили API), например, в Uber.

Пока о случаях взлома Apple Pay не сообщалось. При оплате смартфон не передает POS-терминалу данных карты. Вместо этого он обменивается токеном, одноразовым ключом, который генерируется для каждого платежа. Даже если мошенник перехватит токен, он не сможет использовать его второй раз. Во время платежа через банковскую карту, наоборот, происходит обмен данными, например ПИН-кодом, и этим активно пользуются хакеры. В 2013 году группа взломщиков установила вредоносный софт в магазинах сети Target и за несколько дней получила данные 70 миллионов карт. Токены не являются особенностью Apple Pay — они входят в протокол NFC и работают с другими платежными системами.

Apple Pay даже не хранит номер карты, а присваивает ей номер учетной записи, который находится на защищенном чипе, не загружается ни на серверы, ни в iCloud. Это дает дополнительную безопасность для покупок в интернете: данные карты не вводятся в браузере и не могут быть украдены отслеживающими программами.

Все платежи в Apple Pay утверждаются или сканированием отпечатка пальца, или касанием кожи сенсоров на часах. Touch ID возможно взломать, например, с помощью копии отпечатка пальца на ваяльной глине, но для этого нужны время, доступ к айфону и отпечаток пальца. Но открытой информации о карте в приложении все равно нет. Об уязвимости в последнем также не сообщалось. В случае, если айфон потерялся, данные из Apple Pay удаляются в Find My iPhone.

После запуска Apple Pay специалисты по безопасности сообщали о возможных случаях мошенничества с системой. Хакеры якобы покупали украденные данные о людях и об их картах, создавали дешевые копии карт, авторизовывали их в Apple Pay и совершали покупки. Сотрудники некоторых американских банков в начале 2015 года говорили, что уровень мошенничества с картами вырос с 1% до 6%. Эта история не получила продолжения.

В конце сентября в России запустилась Samsung Pay, аналогичная система, которая работает на смартфонах Samsung. Она доступна для владельцев MasterCard и смартфонов Galaxy S7, S7 edge, S6 edge+, Note 5, A5 2015 года и A7 2016 года (на устройствах с root-доступом Samsung Pay не работает). На данный момент компания сотрудничает с Альфа-банком, «ВТБ 24», МТС-банком, Райффайзенбанком, банком «Русский стандарт» и «Яндекс.Деньгами», но планирует расширить список партнеров.

Samsung Pay устроена по тому же принципу, что и Apple Pay: обменивается токенами, защищает данные карт, авторизовывает платеж отпечатком пальца. Есть два существенных отличия. Во-первых, она умеет платить на старых POS-терминалах для карт с магнитной полосой: с помощью технологии MST (Magnetic Secure Transmission) смартфон имитирует магнитное поле карты и проводит платеж. Во-вторых, она не работает на смарт-часах.

Есть также российское приложение «Кошелек» компании CardsMobile. Оно совместимо со смартфонами на Android, которые имеют NFC-чип, и картами MasterCard банков «Русский стандарт», «Тинькофф» и «Санкт-Петербург». Если приложение было предустановлено на смартфон, то информация о карте хранится в защищенном чипе, если оно установлено после покупки, то данные поместят в облако MasterCard. Платеж в «Кошельке» подтверждается мобильным ПИН-кодом или ПИН-кодом карты, если сумма покупки больше 1000 рублей.

Сервисы для бесконтактной оплаты есть у МТС-банка, Альфа-банка, банка «Русский стандарт», «Евросети», банка «Тинькофф». Все они работают только с MasterCard и Android.

Для владельцев карт Visa работает сервис Visa QIWI Wallet. Его приложения выпущены для iOS, Android и Windows Mobile, а счет пополняется через терминалы QIWI — с привязанной банковской карты или со счета мобильного телефона. При оплате через терминал приложение шифрует данные и требует подтверждения, которое приходит на номер телефона.

У Google имеется платежная система Android Pay. Она не требует авторизации отпечатком пальца на устройствах без сканера, создает токены в облаке, передает их по интернету и хранит несколько токенов в памяти на случай, если пропадет связь. О примерных сроках запуска в России не сообщалось.