Los dos servicios reemplazan el número real de la tarjeta y generan un código diferente para cada compra. La principal diferencia aparece en la información que Apple y Google conservan sobre sus usuarios.
Apple Pay ofrece una política de privacidad más restrictiva que Google Pay para los pagos con el celular. Apple afirma que no conserva información de las compras con tarjetas que pueda vincularse con una persona, mientras que Google mantiene un perfil de pagos asociado a la cuenta y puede recopilar datos sobre las transacciones.
La distancia entre ambos servicios es mucho menor cuando se analiza la seguridad. Los dos reemplazan el número original de la tarjeta por una credencial digital, exigen verificar la identidad del usuario y generan un código criptográfico para cada operación.
Esto significa que Google Pay no es una alternativa insegura. La ventaja de Apple se concentra en la cantidad de datos que conserva y en los usos que permite su política de privacidad.
Qué información recibe el comercio cuando pagás con el celular
Apple Pay y Google Pay utilizan la tokenización definida por los estándares EMV. Este sistema reemplaza el número principal de la tarjeta, conocido como PAN, por un valor alternativo asociado al dispositivo.
El comercio recibe ese token en lugar del número que aparece impreso en la tarjeta. De acuerdo con EMVCo, la credencial digital puede quedar limitada a un teléfono, un comercio o una modalidad específica de pago. Su valor para un delincuente es menor que el de una tarjeta completa.
El token no cambia con cada compra. Lo que se modifica en cada operación es el código criptográfico que acompaña a esa credencial. El banco o la red de pagos comprueba que el código sea válido, que corresponda al dispositivo y que no haya sido utilizado previamente.
Por esa razón, interceptar los datos de una sola transacción no alcanza para repetir el pago. El delincuente necesitaría generar un nuevo código válido, una tarea protegida por claves que no se entregan al comercio.
Cómo protege Apple Pay los datos de la tarjeta
Cuando una persona agrega una tarjeta a Apple Pay, los datos se cifran y se envían a los servidores de Apple. La empresa identifica la red de pagos y remite la información protegida al banco, al emisor o al proveedor encargado de crear la credencial digital.
El emisor genera un número específico para ese dispositivo, denominado Device Account Number. Esa información se almacena en el Secure Element, un chip certificado y aislado del sistema operativo.
Apple sostiene que no puede descifrar ese número, que no lo guarda en sus servidores y que tampoco crea una copia en iCloud. La empresa conserva una parte del número real, algunos dígitos de la credencial digital y una descripción de la tarjeta para que el usuario pueda administrarla desde su cuenta.
El Secure Element y el Secure Enclave cumplen funciones diferentes. El primero protege la credencial de pago y las claves necesarias para la operación. El segundo interviene en la autenticación mediante Face ID, Touch ID o el código del dispositivo.
Una vez aprobada la identidad, el teléfono entrega al terminal el Device Account Number y el código dinámico de la compra. El comercio no recibe el número original de la tarjeta.
Según la documentación de privacidad de Apple Pay, la compañía no conserva información de las transacciones con tarjetas que pueda asociarse con el usuario. En pagos dentro de aplicaciones o páginas web puede retener datos anónimos, como el monto aproximado, la fecha, el nombre de la aplicación y el resultado de la operación.
Esto no transforma a Apple Pay en un sistema anónimo. El banco, la red de pagos y el comercio continúan con acceso a los datos necesarios para autorizar la compra, emitir el resumen y cumplir con sus obligaciones legales.
Qué datos guarda Google Pay y cómo los utiliza
Google Pay es el servicio que procesa los pagos, mientras que Google Wallet es la aplicación que reúne tarjetas, pases, entradas y otras credenciales en Android.
Al igual que Apple, Google crea un número virtual para cada tarjeta y dispositivo. Esta credencial se conoce como DPAN o número de cuenta virtual. El terminal recibe ese valor y un criptograma de la operación, en lugar del número original de la tarjeta.
La documentación técnica de Google Pay también describe el uso de claves de duración limitada, verificación mediante el bloqueo del dispositivo, controles de integridad de Android y aislamiento de los datos de las aplicaciones.
Por ese motivo, no resulta preciso definir a Google Pay como un sistema exclusivamente basado en software. Su funcionamiento combina protecciones del sistema operativo, memoria segura, controles respaldados por el dispositivo y verificaciones realizadas por Google Play Services.
La diferencia aparece en la información asociada con la cuenta. El aviso de privacidad de Google Payments indica que el perfil puede incluir el número y el vencimiento de la tarjeta, la dirección, el teléfono y otros datos de registro.
Google también puede recopilar la fecha, la hora y el monto de una transacción, junto con la ubicación y la descripción del comercio, el método de pago utilizado y otros detalles de la operación.
La empresa utiliza información histórica y actual para crear modelos de detección de fraude, tomar decisiones sobre futuras transacciones y elaborar evaluaciones de riesgo que puede compartir con terceros con fines de seguridad.
En algunos países, los datos de Wallet y de los servicios de pagos también pueden utilizarse para personalizar experiencias, medir el rendimiento de los servicios y ajustar anuncios, según la configuración elegida por el usuario. La disponibilidad de estos controles cambia de acuerdo con el mercado.
Esta recopilación permite que Google aplique sistemas amplios de detección de operaciones sospechosas. También significa que su política contempla más información y más usos que la de Apple Pay.
Las fallas conocidas y el riesgo de pagar con el teléfono bloqueado
Ninguna billetera digital está libre de vulnerabilidades. Una de las investigaciones más conocidas afectó a la combinación de Apple Pay, una tarjeta Visa y la función Express Transit.
Esta modalidad permite pagar el transporte sin desbloquear el iPhone. En 2021, investigadores de las universidades de Birmingham y Surrey demostraron que podían engañar al teléfono para que interpretara un lector comercial como una terminal de transporte.
El ataque permitía iniciar una compra desde un iPhone bloqueado y superar el límite habitual de los pagos sin autenticación. La técnica requería proximidad al dispositivo, equipamiento NFC y una conexión con otro terminal.
La falla no afectaba a todas las tarjetas ni a cada operación realizada c
on Apple Pay. El problema se concentraba en las tarjetas Visa configuradas para Express Transit.
En 2026, los investigadores realizaron otra demostración controlada y consiguieron autorizar un pago de USD 10.000 desde un iPhone bloqueado. La Universidad de Surrey señaló que Apple y Visa todavía no habían corregido el problema.
La prueba confirma que el ataque es técnicamente posible. Por sí sola no demuestra la existencia de una campaña masiva contra usuarios de Apple Pay.
Google Wallet también permite exceptuar de la verificación determinados pagos de transporte. Para el resto de las compras exige un bloqueo de pantalla y una comprobación mediante PIN, patrón, contraseña o biometría compatible. La verificación puede mantenerse válida durante algunos minutos antes de que el sistema la solicite otra vez.
Apple Pay o Google Pay: cuál conviene usar
Apple Pay tiene la ventaja en privacidad. Su arquitectura mantiene la credencial de pago dentro de un chip específico y su política limita la información de las compras que la compañía conserva vinculada con el usuario.
Google Pay recopila más datos y los integra con un perfil de pagos asociado a la cuenta. Esa información alimenta sus controles contra el fraude y, según el país y la configuración, puede emplearse para personalización, medición y publicidad.
En seguridad, los dos servicios ofrecen protecciones sólidas para una compra cotidiana. Ambos ocultan el número real de la tarjeta, utilizan códigos dinámicos y dependen de la autenticación del dispositivo. La vulnerabilidad de Express Transit obliga a prestar atención a las excepciones que permiten pagar sin desbloquear el teléfono.
Quienes utilicen cualquiera de las dos billeteras deberían mantener actualizado el sistema operativo, activar las notificaciones bancarias y proteger el equipo con un código difícil de adivinar. También conviene desactivar los pagos de transporte sin autenticación cuando esa función no resulte necesaria.
La conclusión tiene dos partes: Apple Pay resulta más restrictivo con los datos personales; Google Pay mantiene un nivel alto de seguridad y recopila más información para sostener sus servicios. Ninguna opción elimina el registro que conservan el banco, la red de pagos y el comercio.