In breve
- Apple Pay e Google Pay sostituiscono la plastica con il telefono o l'orologio: al posto del numero reale della carta usano un token, un numero sostitutivo legato al dispositivo, e un codice monouso per ogni pagamento.
- Il negoziante non vede numero, scadenza e CVV della carta: se il suo sistema viene violato, i tuoi dati non ci sono.
- Ogni pagamento richiede lo sblocco del telefono (impronta, volto, codice): un telefono rubato non paga da solo.
- Se perdi il telefono, sospendi i wallet da remoto senza bloccare la carta fisica.
- Non ci sono commissioni aggiuntive: valgono le condizioni della carta collegata. La carta di credito TF Mastercard Gold di TF Bank è compatibile con Apple Pay e Google Pay; per le altre carte del confronto verifica sul sito del provider.
Che cosa sono Apple Pay e Google Pay
Apple Pay e Google Pay (oggi parte di Google Wallet) sono i portafogli digitali integrati in iPhone, Apple Watch e dispositivi Android che permettono di pagare in negozio, nelle app e sui siti con una carta di pagamento caricata sul dispositivo. Non sono carte, non sono conti e non hanno un saldo proprio: sono un modo diverso di presentare al terminale una carta che hai già, con un livello di sicurezza superiore a quello della plastica.
Dal punto di vista del circuito (Visa, Mastercard) un pagamento con il wallet è un normale pagamento con carta contactless o online: passa dagli stessi sistemi di autorizzazione, con le stesse condizioni economiche e le stesse tutele di legge. Cambia il modo in cui i dati della carta vengono trattati, ed è lì che sta il vantaggio.
Come funziona la tokenizzazione
La tokenizzazione è il meccanismo che permette al wallet di pagare senza mai usare il numero reale della carta: al momento dell'aggiunta della carta, l'emittente e il circuito generano un numero sostitutivo, il token (o DPAN, Device Primary Account Number), legato a quel dispositivo specifico e memorizzato in un'area protetta del telefono. Il numero reale della carta non viene conservato sul telefono né inviato ai negozi.
La sequenza di un pagamento in negozio è questa:
- Avvicini il telefono al terminale e ti autentichi con impronta, volto o codice.
- Il telefono trasmette al terminale il token e un crittogramma monouso, valido solo per quella transazione.
- Il terminale invia tutto al circuito, che riconosce il token, verifica il crittogramma e lo traduce nel numero reale della carta, che conosce solo lui.
- La richiesta arriva all'emittente della carta, che autorizza o rifiuta come per qualunque altro pagamento.
- Ricevi la notifica del wallet e, se attive, quella dell'app della carta.
Se qualcuno intercettasse i dati trasmessi al terminale, otterrebbe un token che vale solo su quel dispositivo e un crittogramma già consumato: due informazioni inutilizzabili. È lo stesso principio delle carte virtuali usa e getta, applicato ai pagamenti in negozio.
Cosa vede il negoziante (e cosa no)
Il negoziante vede il token, l'importo e i dati tecnici necessari all'autorizzazione; non vede il numero reale della carta, la scadenza, il CVV né i tuoi dati anagrafici. Questa è la differenza più concreta rispetto alla plastica per la tua sicurezza quotidiana.
Con una carta fisica, ogni esercente presso cui paghi riceve il numero reale della carta (in forma protetta, ma pur sempre il numero): se il suo sistema viene violato, la carta può finire in una lista rivenduta ai truffatori, com'è successo in molte violazioni note. Con il wallet, l'esercente riceve solo il token del tuo dispositivo, che senza il crittogramma monouso non serve a niente. Una violazione dei suoi sistemi non espone la tua carta.
La tabella mette a confronto le informazioni in gioco nei tre modi di pagare più comuni.
| Informazione | Carta fisica al POS | Wallet (Apple Pay / Google Pay) | Carta salvata su un sito |
|---|---|---|---|
| Numero reale della carta | Trasmesso al terminale | Mai trasmesso: solo il token | Conservato dal sito |
| Codice per singola operazione | Sì, con il chip (EMV) | Sì, crittogramma monouso | No |
| CVV | Stampato sulla carta, non trasmesso al POS | Non usato | Richiesto o memorizzato |
| Autenticazione a ogni pagamento | PIN sopra una certa soglia o cumulativo | Sempre (biometria o codice) | 3D Secure, quando richiesto |
| Cosa può fare chi ruba il supporto | Pagamenti contactless fino alla richiesta del PIN | Nulla senza sbloccare il telefono | Acquisti online fino al blocco |
| Danno in caso di violazione dell'esercente | Il numero della carta è esposto | Il token è inutilizzabile altrove | Il numero della carta è esposto |
Sullo scontrino e nell'estratto conto potresti vedere ultime cifre diverse da quelle della tua plastica: sono quelle del token. È normale, e le trovi nelle impostazioni del wallet.
Perché il wallet è più sicuro della plastica
Il wallet è più sicuro della plastica per tre ragioni combinate: la tokenizzazione, l'autenticazione a ogni pagamento e la possibilità di sospensione remota.
Autenticazione a ogni pagamento. Con la carta contactless i pagamenti sotto la soglia non chiedono il PIN, ed è la ragione per cui una carta rubata può essere usata per qualche piccolo acquisto prima del blocco. Con il wallet ogni pagamento, di qualunque importo, richiede impronta, volto o codice del telefono. Per questo i wallet possono essere accettati anche sopra le soglie del contactless senza chiedere il PIN sul terminale: l'autenticazione è già avvenuta sul dispositivo, e soddisfa i requisiti dell'autenticazione forte del cliente previsti dalla PSD2.
Nessun dato leggibile. Sulla plastica ci sono numero, scadenza e CVV in chiaro: chiunque la tenga in mano per dieci secondi può copiarli. Sul telefono non c'è niente da leggere.
Sospensione remota. Se perdi il telefono, sospendi il wallet da un altro dispositivo, senza bloccare la carta, che continua a funzionare in versione fisica. Con la plastica persa, invece, devi bloccare tutto e aspettare la sostitutiva.
Il rischio residuo è di altro tipo: la fase di aggiunta della carta al wallet. Un truffatore che ha rubato numero, scadenza e CVV può tentare di caricare la tua carta sul suo telefono. Per questo l'aggiunta richiede una verifica con l'emittente (conferma in app, codice inviato al numero registrato): se ricevi una richiesta di conferma per l'aggiunta di una carta a un wallet che non hai fatto tu, rifiutala e contatta l'emittente. È una delle situazioni descritte nella guida sulle truffe bancarie.
Cosa fare se perdi il telefono
Se perdi il telefono devi fare due cose: proteggere il dispositivo e sospendere i wallet, in questo ordine, e in entrambi i casi puoi agire da remoto.
- Metti il telefono in modalità smarrito da un altro dispositivo: con Dov'è per iPhone e Apple Watch, con Trova il mio dispositivo per Android. Il telefono si blocca, mostra un messaggio con un tuo recapito e, per Apple Pay, le carte vengono sospese automaticamente.
- Sospendi o rimuovi le carte dal wallet dalle impostazioni dell'account Apple o Google, oppure chiedendo all'emittente di sospendere il token del dispositivo. La carta fisica resta attiva.
- Se non recuperi il telefono, cancellalo da remoto: i token vengono eliminati definitivamente.
- Quando compri un nuovo telefono, riaggiungi le carte: verranno generati token nuovi.
Non serve, di regola, bloccare la carta fisica solo perché hai perso il telefono: il wallet è protetto dallo sblocco del dispositivo e il token si sospende separatamente. Se però hai perso insieme telefono e portafoglio, segui la procedura di blocco della carta.
Quali carte del confronto supportano Apple Pay e Google Pay
La compatibilità con i wallet dipende dall'emittente, non dal tipo di carta, e va verificata sul sito ufficiale di ciascun provider; nei dati che usiamo per il confronto delle carte il supporto è documentato esplicitamente per la carta di credito TF Mastercard Gold di TF Bank, che può essere aggiunta ad Apple Pay e Google Pay per pagare con iPhone, Apple Watch e dispositivi Android, come indicato nella recensione TF Bank.
Per gli altri prodotti che confrontiamo, la carta di debito multivaluta di Revolut, la carta di debito di N26 con IBAN italiano, la carta Mastercard del conto bunq, la carta di debito di Trade Republic e la prepagata Hype, il supporto ai wallet è oggi diffuso nel mercato delle fintech, ma non è riportato nella documentazione su cui basiamo le nostre schede: verifica sul sito ufficiale del provider, dove trovi anche l'elenco dei dispositivi supportati e le istruzioni di aggiunta.
Un dettaglio utile per chi ha una carta di credito: aggiungerla al wallet non cambia il modo in cui funziona il credito. Le spese fatte con Apple Pay o Google Pay con la TF Mastercard Gold finiscono nello stesso estratto conto, con lo stesso periodo senza interessi fino a 55 giorni sugli acquisti saldati, e con gli stessi costi in caso di rimborso rateale (T.A.N. 21,00%, T.A.E.G. 23,14%). Il wallet cambia la sicurezza del pagamento, non le condizioni economiche del prodotto.
Costi, cambio valuta e condizioni: niente cambia
Pagare con il wallet non costa nulla in più e non cambia le condizioni della carta collegata: le commissioni, se ci sono, sono quelle della carta. Vale la pena ricordarlo per due voci che generano confusione.
Cambio valuta. Se paghi all'estero con il wallet in una valuta diversa dall'euro, si applicano le condizioni di cambio della carta. Con la carta di debito multivaluta di Revolut vale il cambio senza commissioni entro i limiti del piano; con la TF Mastercard Gold di TF Bank il costo di conversione monetaria è indicato a 0 euro. Con una carta tradizionale che applica una maggiorazione sul cambio, la maggiorazione si applica anche via wallet. La proposta di conversione dinamica (DCC) sul terminale va rifiutata esattamente come con la plastica.
Pagamenti online e in app. Quando un sito o un'app offre il pulsante Apple Pay o Google Pay, il pagamento avviene con lo stesso token e la stessa autenticazione biometrica: non devi digitare i dati della carta, che il sito non riceve. È preferibile, per sicurezza, alla carta salvata sul sito.
Wallet, carte virtuali e carta fisica: come combinarli
La combinazione più efficace per la sicurezza quotidiana è usare il wallet per i pagamenti in negozio e nelle app, le carte virtuali per gli acquisti sui siti che non offrono il wallet, e la carta fisica per prelievi e cauzioni. Ognuno dei tre strumenti copre un'area in cui gli altri sono meno adatti:
- il wallet copre negozi e app, con autenticazione a ogni pagamento e nessun dato esposto;
- le carte virtuali coprono gli abbonamenti e i siti sconosciuti, con limiti per compartimento e numeri usa e getta;
- la carta fisica copre gli sportelli automatici, le cauzioni di hotel e noleggio, e i pochi terminali senza contactless.
Con questa organizzazione la plastica esce dal portafoglio poche volte al mese e il rischio di skimming o clonazione si riduce di conseguenza. Per chi gestisce un'attività, la stessa logica vale per le carte del team: i conti business del nostro confronto emettono carte virtuali per i collaboratori, spesso aggiungibili al wallet del loro telefono, con limiti impostati dall'amministratore.
Conclusione
Apple Pay e Google Pay sono, per la maggior parte delle persone, il modo più sicuro di usare una carta che già possiedono: il negoziante non riceve mai il numero reale, ogni pagamento ha un codice monouso e richiede lo sblocco del telefono, e in caso di smarrimento il wallet si sospende da remoto senza toccare la carta. Non costano nulla in più e non cambiano le condizioni della carta collegata, comprese quelle di cambio valuta e, per le carte di credito, di rimborso del credito. L'unico presidio che dipende da te è il telefono: codice robusto, biometria attiva e attenzione alle richieste di conferma per l'aggiunta di carte che non hai fatto. Per sapere se la tua carta è compatibile, il riferimento è sempre il sito ufficiale dell'emittente.