Tokenización de pagos: cómo protegen las carteras móviles tu tarjeta

En octubre de 2025, Visa informó de que había más de 16 000 millones de tokens en circulación, frente a 10 000 millones en mayo de 2024, con unos 4000 millones de tarjetas en su red. Detrás de cada tarjeta suele haber varios tokens: uno por móvil, otro por reloj y otro por cada tienda que la guarda para cobros futuros.

Qué cambia al tokenizar una tarjeta

El número de tarjeta, o PAN, identifica tu cuenta ante todos los que intervienen en un pago, y cualquiera que lo copie puede intentar usarlo en otro sitio. Un token es un valor sustituto que un servicio de tokenización vuelve a asociar al PAN durante la autorización, y en ningún otro momento.

¿Cómo funciona la tokenización de tarjetas en la práctica? Tomemos un caso hipotético. Ana, que vive en Valencia, añade su tarjeta de pago a la cartera del móvil. El servicio de tokens de su emisor crea un token de dispositivo para ese teléfono y lo guarda en su chip seguro. Una semana después, Ana acerca el móvil al lector de una taquilla del puerto de Dénia para comprar un billete de ferri a Ibiza. La taquilla recibe el token y un código de un solo uso generado para ese pago; la red de la tarjeta cambia el token por el número real, comprueba el código y envía la solicitud al emisor.

La naviera se queda con un token y un recibo. Si sus sistemas sufrieran una brecha, el atacante tendría un número que la red rechaza salvo que llegue desde el móvil de Ana con un código nuevo. Ahí es donde se nota la diferencia entre un token y un número de tarjeta. Se habla mucho de tokenización de tarjetas de crédito, pero el mecanismo es el mismo para cualquier tarjeta de pago.

Tokens de dispositivo y tokens de comercio

Bajo el mismo nombre conviven dos tipos de token que protegen cosas distintas.

El token de dispositivo procede de la tokenización de red: el servicio de tokens de la marca de la tarjeta lo crea para un único dispositivo, y cada pago lleva un criptograma que cambia en cada operación. La tokenización en carteras móviles es el ejemplo más conocido. ¿Se puede reutilizar un token de pago? El token de dispositivo se reutiliza en todas las compras hechas con ese móvil; lo que no se reutiliza es el código de un solo uso de cada compra. No todos los tokens son de un solo uso.

El token de comercio se crea cuando una tienda o su procesador guarda tu tarjeta para cobros posteriores. El número real queda en la bóveda del procesador y la tienda conserva una referencia que no significa nada fuera de esa relación. Visa lo describe como un token que solo puede usarse con ese comercio. Funciona como el resguardo de un guardarropa: sirve para recuperar tu abrigo en ese guardarropa, no vale en ningún otro y no revela qué llevas en los bolsillos.

Los dos tipos suelen combinarse. Una app de idiomas con sede en Barcelona puede guardar un token de red de tu tarjeta en la bóveda de su procesador. Si el emisor te envía una tarjeta nueva, puede actualizar los datos que hay detrás del token y la suscripción sigue cobrándose. Es cómodo, y también explica por qué cambiar de tarjeta no cancela automáticamente los cargos periódicos.

Tokenización, cifrado y autenticación

¿Es lo mismo tokenización que cifrado? No. El cifrado codifica los datos para que solo quien tenga la clave pueda recuperarlos. La tokenización sustituye los datos por otro valor que se guarda en otro sitio. La autenticación responde a una tercera pregunta, si quien paga es el titular, mediante la huella, el reconocimiento facial, el PIN o el 3D Secure. La confusión entre tokenización y cifrado desaparece al ver que un solo pago con el móvil usa las tres.

La tokenización, el cifrado y la autenticación se ocupan de partes distintas de un pago con tarjeta.

Fuente: Apple, seguridad y privacidad de Apple Pay, 2025

Los pagos con tarjeta tokenizada siguen sujetos a las normas de autenticación. ¿La tokenización sustituye al 3D Secure? No. La mayoría de los pagos online con tarjeta en la UE exigen autenticación reforzada según la PSD2; un pago con el móvil puede cumplirla mediante la biometría de un dispositivo en el que tu emisor ya confía, y una tienda también puede pasar una tarjeta tokenizada por el 3D Secure.

¿Apple Pay usa tokenización?

¿Apple Pay usa tokenización en tiendas y en compras online? Sí, en ambos casos. Al añadir una tarjeta, tu emisor crea un número de cuenta del dispositivo y lo guarda, cifrado, en el Secure Element, un chip certificado del móvil o del reloj. Según la información de seguridad de Apple, ese número está aislado del sistema operativo, nunca se guarda en los servidores de Apple y nunca se incluye en las copias de iCloud.

En el datáfono, el chip envía el número de cuenta del dispositivo junto con un código de seguridad dinámico exclusivo de esa operación; el número de tarjeta no se transmite. En compras online, los datos se vuelven a cifrar para el comercio concreto o su procesador. Las tarjetas de pago Blackcat se pueden añadir a Apple Pay; los pasos están en la página de pagos seguros con tarjeta.

Si pierdes el móvil

¿Qué pasa con el token si pierdes el móvil? Sigue vinculado a ese dispositivo y puedes desactivarlo sin tocar la tarjeta, porque tarjeta y token son credenciales distintas.

• Marca el dispositivo como perdido. En un iPhone, el modo Perdido de Buscar suspende Apple Pay hasta que lo reactives.
• Elimina las tarjetas a distancia desde tu cuenta de Apple o borra el móvil con Buscar.
• Contacta con tu emisor desde su app o en un número verificado. Puede suspender el token aunque el móvil esté sin conexión.
• Revisa los últimos movimientos y comunica cualquier cargo que no hayas hecho.

En un caso hipotético, Jorge se deja el móvil en un búho, el autobús nocturno de Madrid, pero lleva la tarjeta en la chaqueta. Con Buscar y un mensaje a su emisor suspende el token, y a la mañana siguiente paga con la tarjeta física. Solo necesita una tarjeta nueva si también se perdió la tarjeta o sus datos.

Lo que la tokenización no evita

¿La tokenización evita cualquier tipo de fraude? No. Limita lo que puede robar un ladrón de datos, pero no hace nada frente a quien es engañado para aprobar un pago. El informe de 2025 de la ABE y el BCE sobre fraude en los pagos cifró el fraude con tarjetas emitidas en la UE y el EEE en 1330 millones de euros en 2024. Las operaciones a distancia concentraron el 83 % del fraude con tarjeta en importe, aunque solo suponían el 28 % del importe de los pagos con tarjeta, y el informe señaló la manipulación de los pagadores como un problema creciente.

Tres situaciones se saltan los tokens:

• Estafas de activación en la cartera. Alguien que se hace pasar por tu entidad te pide por teléfono un código de un solo uso, que en realidad se ha enviado porque está añadiendo tu tarjeta a su propio móvil.
• Tiendas falsas. Un pago tokenizado a un comercio fraudulento sigue siendo un pago válido.
• Aprobaciones bajo presión. Confirmas tú mismo un pago en tu app mientras te presionan, y la autenticación es real.

Puntos clave

• Los comercios guardan el token, no el número de tu tarjeta
• Los tokens de dispositivo viven en un dispositivo; los de comercio, en la bóveda de una tienda
• La tokenización no sustituye al cifrado ni al 3D Secure
• Puedes desactivar un móvil perdido sin cambiar de tarjeta
• Las estafas que te piden un código o te hacen aprobar un pago esquivan los tokens

Revisa los controles de tu tarjeta

La cartera del móvil protege el número de la tarjeta; tus ajustes protegen el resto. Consulta los controles disponibles en la app en la guía de seguridad de las tarjetas Blackcat.

Este artículo tiene carácter meramente informativo y no constituye asesoramiento jurídico, fiscal ni financiero.

Blackcat es emitido por Papaya Ltd. Papaya Ltd. es una entidad de dinero electrónico autorizada y regulada por la Malta Financial Services Authority (MFSA), número de registro C55146. Los fondos de los clientes están protegidos de conformidad con la legislación aplicable. Los fondos mantenidos en cuentas de dinero electrónico no están cubiertos por el sistema de garantía de depósitos.