בשעת ערב עמוסה בסופרמרקט שכונתי, התור מתקדם בקצב של צפצופים. אישה מצמידה שעון חכם לקופה וממשיכה לארוז בלי להאט; נער מקרב טלפון למסוף, מחכה לרטט הקצר ונעלם עם השקיות; גבר מבוגר מצמיד כרטיס פלסטיק, והמכשיר עונה לו באותו צליל בדיוק. איש בתור לא מרים מבט. התנועה הזאת – הצמדה, שנייה של המתנה, צפצוף – הפכה לפעולה הכלכלית האוטומטית ביותר בחיינו.
אבל בשנייה האחת הזאת מתרחש תהליך שכמעט איש מאיתנו לא מכיר: שדה רדיו זעיר, שבב שמתעורר לחיים, קוד הצפנה שנולד בשביל עסקה אחת ומת מיד אחריה, ומסע בזק בין שלושה גופים פיננסיים. הכתבה הזאת פותחת את הקופסה השחורה של התשלום ללא מגע: איך הוא עובד באמת, למה הטלפון לא מגלה לקופה את מספר הכרטיס האמיתי, מאיפה הגיעה תקרת 300 השקלים – ולמה היא לא חלה על ארנק דיגיטלי – והאם אפשר "לגנוב" תשלום בהצמדת מסוף לכיס בקהל.
איך עובד תשלום ללא מגע – מה באמת קורה בשנייה שבין ההצמדה לצפצוף?
הכול מתחיל בשדה אלקטרומגנטי קטן מאוד. מסוף התשלום משדר גלי רדיו בתדר של 13.56 מגה-הרץ באמצעות טכנולוגיית NFC – ראשי תיבות של Near Field Communication, תקשורת שדה קרוב. על פי NFC Forum, גוף התקינה של הטכנולוגיה, הטווח הטיפוסי של תקשורת כזאת מגיע עד כ-2 סנטימטרים בלבד. הקרבה הכפויה הזאת אינה מגבלה מקרית אלא חלק מהתכנון: תקשורת שדורשת כמעט מגע פיזי קשה הרבה יותר ליירוט מרחוק.
בתוך כרטיס החיוב יושבים שבב זעיר ואנטנה. לכרטיס אין סוללה – שדה הרדיו של המסוף הוא שמספק לשבב את האנרגיה הדרושה לרגע השיחה. ומרגע שהשבב ניעור, מתנהל בינו ובין המסוף דו-שיח מהיר בפרוטוקול מוגדר היטב, שאת כלליו קובע תקן EMV – ראשי התיבות של Europay, MasterCard ו-Visa, שלוש החברות שיזמו אותו – המנוהל כיום בידי גוף התקינה הבין-לאומי EMVCo. את הדו-שיח מנהלת בכל מסוף "ליבה" – רכיב תוכנה ייעודי לכל רשת תשלומים.
הנקודה החשובה ביותר בתקן היא ההצפנה הדינמית. לפי EMVCo, בכל עסקה ללא מגע נוצר קוד אבטחה חד-פעמי שמשמש לאותה עסקה בלבד. הקוד מחושב בתוך השבב עצמו, ולכן גם מי שיצליח ליירט את התשדורת יחזיק בידיו קוד שכבר אין בו כל ערך, כי לעסקה הבאה ייווצר קוד חדש.
מכאן ממשיכה הבקשה את דרכה: המסוף משגר את נתוני העסקה אל מערכת כרטיסי החיוב שמפעילה חברת שב"א, המקשרת בין מסופי התשלום בבתי העסק, הסולקים והמנפיקים. הסולק – הגורם שמאפשר לבית העסק לכבד כרטיסים – מעביר את הבקשה לאישור אל מנפיק הכרטיס, ואם היא אושרה הוא מבטיח את התשלום לבית העסק. כל המסע הזה, הלוך ושוב, נדחס אל השנייה שבין ההצמדה לצפצוף. הצפצוף עצמו הוא רק סוף פסוק: הודעה שהמסע הסתיים בהצלחה. וישראל אינה חריגה בנוף העולמי – לפי נתוני EMVCo לתקופה של שנים עשר חודשים שהסתיימה ברבעון האחרון של 2025, 97% מעסקאות הכרטיסים בעולם כבר מבוצעות בשבב בתקן הזה.
למה הטלפון לא משדר את מספר הכרטיס האמיתי?
כשמשלמים בכרטיס פלסטיק, השבב שבכרטיס מנהל את השיחה. כשמשלמים בטלפון או בשעון, נכנס לתמונה מנגנון נוסף ומתוחכם יותר: טוקניזציה. לפי EMVCo, הטוקניזציה מסירה מהעסקה את הנתון היקר ביותר לרמאים – מספר הכרטיס האמיתי, המכונה בעגה המקצועית PAN – ומחליפה אותו בערך חלופי ייחודי, "טוקן תשלום". הטוקן מוגבל מראש בשימושיו: הוא כשיר לפעול רק בהקשר שלשמו הונפק, למשל במכשיר מסוים או בתרחיש תשלום מסוים, ולכן טוקן שדלף שווה מעט מאוד למי שגנב אותו.
אפשר לראות איך זה נראה בפועל בתיעוד האבטחה שמפרסמת אפל, מהשחקניות הגדולות בתחום הארנקים הדיגיטליים. לפי אפל, כשמוסיפים כרטיס לארנק, הבנק או מנפיק הכרטיס יוצרים "מספר חשבון מכשיר" ייחודי ומצפינים אותו, והוא נשמר ברכיב חומרה מאובטח בתוך הטלפון עצמו. אפל מדגישה שמספרי הכרטיס המקוריים אינם נשמרים לא במכשיר ולא בשרתי החברה, ושבעת התשלום מוסר המכשיר למסוף את המספר החלופי בלבד, בצירוף קוד אבטחה דינמי ייחודי לאותה עסקה – ולעולם לא את מספר הכרטיס האמיתי.
ויש שכבה נוספת: כדי שהטלפון יסכים לשדר, יש לאשר ככלל את התשלום בזיהוי ביומטרי – טביעת אצבע או סריקת פנים – או בקוד המכשיר. הדרישה הזאת מתיישבת בדיוק עם העקרונות שקבעה ועדת כרטיסי חיוב של בנק ישראל לאימות מוגבר בתשלום דיגיטלי: שילוב של שני מרכיבים או יותר מתוך שלוש קטגוריות – מידע שרק המשתמש יודע, משהו שרק לו יש, ומאפיין מובנה כמו זיהוי ביומטרי. זה אותו היגיון שמניע גם את מהפכת מפתחות-הגישה שמחליפים את הסיסמאות: מפתח הצפנה שנעול בתוך המכשיר, ומשתחרר רק מול הפנים או האצבע הנכונות.
כמה ישראלים כבר משלמים בהצמדה ובארנק דיגיטלי?
התשובה המוסמכת ביותר נמצאת בסקירת מערך התשלומים בישראל, שפרסמה מחלקת מערכות תשלומים וסליקה של בנק ישראל באוגוסט 2024. לפי הסקירה, המבוססת על נתוני שב"א, ביולי 2023 בוצעו 65.8% מההוצאות בכרטיסי חיוב בנוכחות פיזית בבית העסק בעסקאות חכמות – הצמדת כרטיס ללא מגע, ארנקים דיגיטליים ושעונים חכמים – בהיקף כולל של 11.218 מיליארד שקלים באותו חודש.
קצב האימוץ הישראלי היה מסחרר במיוחד בכל הנוגע לארנק שבטלפון. ביולי 2021, זמן קצר אחרי שנכנסו הארנקים הדיגיטליים לשימוש בישראל, עמדה ההוצאה החודשית בהם על 274.6 מיליון שקלים. בתוך 24 חודשים, עד יולי 2023, זינק הסכום ביותר מפי 13, ל-3.586 מיליארד שקלים בחודש – 8.71% מסך ההוצאות בכרטיסי חיוב באותו חודש. ההוצאה היומית הממוצעת בארנקים דיגיטליים הגיעה אז ל-115.7 מיליון שקלים, פי שישה מהממוצע היומי בדצמבר 2021, שעמד על 19.2 מיליון שקלים.
הסקירה מוסיפה עוד שתי נקודות ציון מאותו חודש מדידה: הארנקים הדיגיטליים לבדם היוו יותר מ-21% מסך ההוצאות בנוכחות פיזית בבתי העסק, והיקף התשלום בעסקאות שבוצעו בתקן EMV הגיע ל-96.2% מהיקף העסקאות בכרטיסי חיוב – 39.6 מיליארד שקלים מתוך 41.2 מיליארד. במילים אחרות, התשלום החכם חדל מזמן להיות צעצוע של חובבי טכנולוגיה; הוא הדרך שבה המשק הישראלי משלם. על התשתית הזאת צומחות גם שיטות תשלום חדשות בקופה, כמו מהפכת "קנה עכשיו, שלם אחר כך" שתיארנו בהרחבה בכתבה נפרדת.
למה על הצמדת כרטיס חלה תקרת 300 שקלים – ועל תשלום מהטלפון לא?
כמעט כל מי שמשלם בהצמדת כרטיס נתקל בגבול הבלתי נראה: עד 300 שקלים מספיקה הצמדה, ומעבר לסכום הזה המסוף דורש להכניס את הכרטיס ולהקיש קוד סודי בן ארבע ספרות. הגבול הזה אינו גזירה טכנולוגית אלא החלטה רגולטורית, ויש לו היסטוריה: במאי 2020, בשיא מגפת הקורונה וכדי לצמצם מגע פיזי בקופות, העלה בנק ישראל את התקרה מ-200 ל-300 שקלים. בסוף דצמבר 2020 החליט בנק ישראל, במסגרת הוועדה לכרטיסי חיוב, להותיר אותה על 300 שקלים "ללא מגבלת זמן". בכותרת ההודעה קרא לה הבנק "תקרת ביצוע עסקאות ללא מגע", אבל בגוף ההודעה היא מופיעה בשם אחר: תקרת האימות.
השם הזה הוא המפתח להבנה. התקרה לא נועדה להגביל כמה מותר לקנות בהצמדה; היא קובעת עד איזה סכום מוכנה המערכת לוותר על אימות זהותו של המשלם. כרטיס פלסטיק שמוצמד לקופה אינו יודע להוכיח מי מחזיק בו, והקוד הסודי הוא שמשלים את החסר – ולכן מעל סכום הסיכון שנקבע, הקוד נדרש. בתשלום מהטלפון, לעומת זאת, האימות כבר התרחש: הארנק הדיגיטלי דרש טביעת אצבע, סריקת פנים או קוד עוד לפני ששידר למסוף. לא במקרה, ברשימת אפשרויות התשלום שמפרט בנק ישראל בסקירה מופיעה מגבלת 300 השקלים רק לצד הצמדת הכרטיס, ולא לצד התשלום בארנק דיגיטלי או בשעון חכם (לתקרה נקבעו גם חריגים ספורים, ובהם המשאבות בתחנות הדלק). כך יוצא שעל עגלת קניות של 700 שקלים אפשר לשלם בהצמדת טלפון בלי להקיש דבר בקופה – לא משום שהדרישות התרככו, אלא משום שהאימות כבר בוצע במכשיר.
כל זה מתאפשר על גבי תשתית שהוחלפה כמעט כליל בתוך שנים ספורות. נכון לאפריל 2023 הוסבו מעל 99% ממסופי התשלום בישראל לתקן EMV, וביולי 2023 הנחה בנק ישראל את שב"א להמשיך לתמוך בתקן הישן רק עד 31 בדצמבר 2024 – מועד שאחריו, כך קבעה הסקירה, לא יתאפשר עוד בישראל ביצוען של עסקאות בכרטיסי חיוב שאינן עומדות בתקן.
האם אפשר "לגנוב" תשלום בהצמדת מסוף לכיס בקהל?
זה התרחיש שמלווה את התשלום ללא מגע מיומו הראשון: נוכל עומד ברכבת צפופה, מצמיד מסוף נייד לתיקים ולכיסים, וקוצר עד 300 שקלים מכל קורבן. התשובה הקצרה: התרחיש אפשרי על הנייר, אבל כמעט כל שכבה במערכת פועלת נגדו – והכלכלה שלו גרועה להפליא.
נתחיל בפיזיקה. הטווח הטיפוסי של תקשורת NFC מגיע, כאמור, עד כ-2 סנטימטרים, כך שהמסוף חייב להיצמד כמעט פיזית לכרטיס עצמו, בלי שהקורבן ירגיש; איש אינו "סורק" קרון שלם מרחוק. נמשיך בכלכלה: מסוף תשלום אינו מכשיר אנונימי אלא קצה של שרשרת מזוהה. כל חיוב שהוא מבצע חייב לזרום לחשבון של בית עסק אצל סולק, לעבור במערכת כרטיסי החיוב של שב"א ולהירשם אצל המנפיק. גנב שמחייב עשרות כרטיסים בקהל אינו משאיר אחריו שובל עשן אלא כביש סלול של ראיות, שמוביל היישר לחשבון הבנק שלו.
ונסיים במשפט. גם אם חיוב כזה הצליח, הדין הישראלי מצייד את הלקוח היטב: לפי חוק שירותי תשלום, כפי שמסביר אתר כל-זכות, מי שמגלה חיוב שלא ביצע מודיע לחברת הכרטיס, ומרגע ההודעה הוא אינו נושא עוד באחריות לשום חיוב נוסף. גם על חיובים שנעשו לפני ההודעה האחריות מוגבלת בחוק: 75 שקלים בתוספת 30 שקלים לכל יום שחלף מהיום שבו נודע ללקוח על השימוש לרעה, או סכום העסקה – הנמוך מביניהם. נוסיף לכך את תקרת 300 השקלים לעסקה בודדת ואת הקוד החד-פעמי, שגם אם יורט אי אפשר להשתמש בו לחיוב נוסף, ונקבל עסק גרוע במיוחד מנקודת מבטו של הגנב. זה לא אומר שהסיכון אפס; הכלל החשוב נשאר בעינו: לעקוב אחרי פירוט החיובים ולהודיע מהר על כל עסקה זרה, כי מועד ההודעה הוא שקובע את גבול האחריות.
בפעם הבאה שתעמדו מול הקופה עם הטלפון ביד, שווה לעצור לרגע על השנייה הזאת. בין ההצמדה לצפצוף נדחסים שדה רדיו זעיר, שבב שמתעורר, קוד שנולד בשביל עסקה אחת ומת מיד אחריה, טוקן שמסתיר את המספר האמיתי, ומסע בזק דרך שב"א, הסולק והמנפיק – תשתית שלמה שהצטמצמה לכדי תנועת יד אחת. הצפצוף הוא הקול של כל אלה. ומי שיודע מה יש בתוכו, שומע אותו קצת אחרת.
שאלות ותשובות
האם מישהו יכול לחייב אותי בהצמדת מסוף לכיס בלי ידיעתי? תיאורטית התרחיש קיים; מעשית הוא נדיר ולא משתלם. טווח התקשורת של NFC מגיע לסנטימטרים בודדים, כך שנדרשת הצמדה כמעט מלאה לכרטיס. כל חיוב זורם לחשבון בית עסק מזוהה אצל סולק, כך שהגנב מסגיר את עצמו בכל עסקה, והחוק מגביל את אחריות הלקוח ומאפס אותה מרגע ההודעה לחברת הכרטיס. השורה התחתונה: לבדוק את פירוט החיובים ולהודיע מיד על כל עסקה זרה.
מה בטוח יותר – הצמדת כרטיס פיזי או תשלום מהטלפון? לתשלום מהטלפון יש שתי שכבות הגנה שאין לכרטיס. הראשונה היא הטוקניזציה, שמחליפה את מספר הכרטיס האמיתי בערך חלופי מוגבל-שימוש, כך שהמספר עצמו כלל אינו משודר בקופה. השנייה היא האימות במכשיר – טביעת אצבע, סריקת פנים או קוד – שנדרש ככלל לפני כל תשלום. זה גם ההיגיון שמאחורי ההבדל בתקרה: מגבלת 300 השקלים חלה על הצמדת כרטיס ללא קוד סודי, אך לא על תשלום מארנק דיגיטלי. הכרטיס הפיזי מוגן היטב בזכות הקוד החד-פעמי שנוצר בכל עסקה, אבל הטלפון מוסיף עליו את אימות הזהות – יכולת שאין לכרטיס הפלסטיק.
חויבתי בעסקה שלא ביצעתי – מה עושים? מודיעים למנפיק אמצעי התשלום, ומהר. לפי חוק שירותי תשלום, מרגע מסירת ההודעה הלקוח אינו נושא באחריות לחיובים נוספים, וגם על חיובים שקדמו לה האחריות מוגבלת: 75 שקלים בתוספת 30 שקלים לכל יום שחלף מגילוי השימוש לרעה ועד ההודעה, או סכום העסקה אם הוא נמוך יותר. את פרטי העסקה השנויה במחלוקת מבררים מול המנפיק.
מקורות
- סקירת מערך התשלומים בישראל – בנק ישראל, מחלקת מערכות תשלומים וסליקה, אוגוסט 2024.
- בנק ישראל מותיר את תקרת ביצוע עסקאות ללא מגע בגובה של 300 ש"ח – בנק ישראל, דצמבר 2020.
- EMV Contactless – EMVCo.
- EMV Payment Tokenisation – EMVCo.
- NFC Technology – NFC Forum.
- Apple Pay security and privacy overview – Apple Support.
- ביטול עסקאות וחיובים שנעשו תוך שימוש לרעה באמצעי תשלום – כל-זכות.
- Worldwide EMV Deployment Statistics – EMVCo, נתוני 2025.