Smart card är inte en separat korttyp utan tekniken som finns i praktiskt taget alla moderna betalkort i Sverige 2026. Chipet, kontaktlös NFC och tokenisering bakom kulisserna är det som gör skillnaden mellan en transaktion som är säker att blippa i några sekunder och en som riskerar skimming. Här går vi rakt på det som spelar roll: vad EMV-chippet faktiskt gör, varför gränsen utan PIN är 400 kr i Sverige, hur tokenisering skyddar dig vid mobilbetalning, och vad du ska göra om kortet eller telefonen försvinner.
Smart card är samlingsterm för plastkort med inbyggd mikroprocessor (IC-chip), idag synonymt med EMV-kort. Tekniken genererar en unik krypterad transaktionskod varje gång du betalar, vilket gör kortet praktiskt omöjligt att kopiera till skillnad från den gamla magnetremsan. Kontaktlös betalning (blippa) fungerar via NFC upp till 400 kr utan PIN-kod i Sverige sedan april 2020. Virtuella kort i Apple Pay, Google Pay och Samsung Pay använder tokenisering där ditt riktiga kortnummer aldrig delas med säljaren.
- EMV-standard: Europay, Mastercard, Visa, etablerad global betalningsstandard
- Andel EMV-kompatibla korttransaktioner globalt (slutet 2023, enligt EMVCo): 90 procent
- Kontaktlös gräns utan PIN i Sverige: 400 kr (höjt från 200 kr 17 april 2020)
- EU-max för kontaktlöst utan PIN: 50 euro
- Krav på terminaler att stödja kontaktlöst: sedan 1 januari 2020
- NFC-räckvidd för kontaktlös betalning: under 10 cm, vanligen 1 till 2 cm
- Cash-kortet i Sverige (historisk produkt): avvecklat 31 oktober 2004
Vad ett smart card är tekniskt
Smart card är ett plastkort av samma format som ett vanligt bankkort men med en inbyggd integrerad krets (IC-chip). Chipet kan vara antingen en ren minneskrets eller en mikroprocessor som utför beräkningar lokalt på kortet. Praktiskt taget alla moderna betalkort i Sverige har den senare typen, en mikroprocessor, vilket gör att kortet kan kryptera och verifiera transaktionsdata istället för att bara lagra ett kortnummer som den gamla magnetremsan gjorde.
Tekniken används långt utöver betalkort: identifiering (nationella ID-kort, pass), autentisering (företags-ID, säkra inloggningar), kollektivtrafikkort, sjukvårdsdata och hotellnycklar. När vi pratar om smart cards i kontexten av kreditkort och betalkort är det dock alltid EMV-kort vi avser. På fysiska kort sker kommunikationen antingen genom kontaktytan (de guldfärgade pluggarna på kortets framsida) eller kontaktlöst via NFC-antenn inbyggd i kortet.
EMV-standarden, så fungerar den i praktiken
EMV är förkortning för Europay, Mastercard och Visa, de tre företag som utvecklade den globala chipkortsstandarden under 90-talet. EMV är därför INTE en korttyp utan en teknisk specifikation som flertalet kortutgivare följer för chip-kommunikation och säkerhet. När du sätter in eller blippar ditt kort i en EMV-aktiverad terminal sker följande:
- Terminalen läser ditt chip och begär autentiseringsdata. Till skillnad från magnetremsan, som skickar samma data varje gång, är chipets data dynamisk.
- Chipet genererar en unik transaktionskod (cryptogram) baserat på kortets hemliga nyckel, transaktionsbeloppet, datum och terminalens identifierare. Koden är giltig endast för exakt denna transaktion.
- Koden skickas till kortutgivaren som verifierar att den är genererad av rätt chip och inte återanvänd.
- Vid kontaktlöst köp under 400 kr sker hela detta utbyte utan PIN-kod. Vid större belopp eller efter ett antal kontaktlösa köp i följd kräver kortet PIN-verifiering.
Effekten är att även om en bedragare lyckas avlyssna en transaktion, är den datan praktiskt taget värdelös eftersom nästa transaktion kräver en annan unik kod som den inte kan generera utan tillgång till chipets hemliga nyckel.
Kontaktlös betalning och 400 kr-gränsen
Kontaktlös betalning, populärt kallat ”blippa”, använder NFC (Near Field Communication) som är en kortdistanstrådlös teknik aktiv inom max 10 cm men i praktiken under 2 cm från terminalen. Tekniken är fast inbyggd i alla nyare svenska betalkort och behöver inte aktiveras separat. Första gången du använder ett nytt kort måste det normalt köras med chip och PIN-kod i en terminal för att låsa upp kontaktlös-funktionen.
Beloppsgränsen utan PIN i Sverige är 400 kr per köp sedan 17 april 2020, höjt från tidigare 200 kr. Höjningen skedde i samband med pandemin för att minska behovet av att trycka på terminalpaneler. Inom EU finns en lagstadgad max-gräns på 50 euro utan PIN. Sverige ligger alltså strax under EU-taket räknat i euro-kurs.
Du behöver alltid PIN-kod över 400 kr, och kortet kräver dessutom periodisk PIN-verifiering även för köp under gränsen. Det kan ske efter ett visst antal blippade köp i följd eller när den samlade summan av kontaktlösa köp överstiger ett internt tröskelvärde. Reglerna är inte offentliga av säkerhetsskäl men följer riskhanteringsmodeller hos kortutgivaren.
I kassan: ha kortet redo, håll det inom 2 cm från symbolen för kontaktlöst på terminalen. Du behöver inte trycka, bara hålla intill i ett par sekunder. Vid signal eller ljud är betalningen klar. Om kortet ”läses dubbelt” av två terminaler samtidigt avbryts transaktionen automatiskt, du blir inte dubbeldebiterad.
Tokenisering och virtuella kort i mobilen
Mobilbetalningar via Apple Pay, Google Pay, Samsung Pay och liknande digitala plånböcker är en variant av smart card-tekniken där det fysiska kortet är ersatt av ett virtuellt motsvarande i mobilens säkra element. Säkerheten bygger på tokenisering: istället för att dela ditt riktiga kortnummer med säljaren, skickas en unik token som motsvarar ditt kort men som inte kan användas utanför just den enheten och den transaktionstypen.
Praktiskt betyder det att om en säljares system blir hackat och token-databasen läcker ut, kan tokens inte användas till någonting i någon annans hand. För dig som användare innebär det att mobilbetalning är ofta säkrare än att ge det fysiska kortet, eftersom kortnumret aldrig delas. Vid förlust av telefonen spärrar du tokenen i din digitala plånbok via Hitta min iPhone, Find My Device eller motsvarande, vilket är mycket snabbare än att behöva spärra det fysiska kortet via banken.
Vissa kortutgivare erbjuder rent virtuella kort som inte har någon fysisk motsvarighet. De är vanliga för engångsköp på nätet, tjänsteresor och prenumerationer, eftersom du kan generera ett nytt kortnummer för varje transaktion eller varje köpsajt.
Säkerhet, vad chipet faktiskt skyddar mot
Den största säkerhetsvinsten med EMV-chip är att kortet inte längre går att klona via skimming på samma sätt som de gamla magnetremskorten kunde. Skimming-bedrägerier har minskat kraftigt i Sverige sedan EMV slog igenom under 2000-talet, eftersom information som läses av en skimmer bara ger en engångskod som inte fungerar för andra transaktioner.
Tre saker som chipet INTE skyddar mot:
- Stöld av det fysiska kortet: en tjuv kan blippa ditt kort upp till 400 kr per köp tills banken kräver PIN. Spärra kortet omedelbart vid misstanke om förlust.
- Phishing och social manipulation: om någon lurar dig att lämna ut kortuppgifter eller godkänna en betalning via BankID, har chipet inget med saken att göra.
- Onlineköp där bara kortnummer plus CVC krävs: denna data är statisk och kan stjälas från en hackad e-handelssida. Det är därför kortutgivare numera ofta kräver 3D Secure-verifiering med BankID för onlineköp.
RFID-skimming, vad du faktiskt behöver veta
Det cirkulerar berättelser om att bedragare kan läsa av ditt kontaktlösa kort på avstånd genom att gå nära dig med en avläsare gömd i ryggsäcken eller liknande. Tekniskt är det möjligt att läsa NFC-data på upp till några decimeter under ideala förhållanden, men praktiskt taget krävs nästan att avläsaren är i direkt kontakt med kortet, eftersom kortets NFC-antenn är svag och behöver terminalens energifält för att fungera.
Värre risk är att informationen på kortet inte är krypterat när NFC läser av kortnumret. Det innebär att en avläsare kan plocka upp ditt kortnummer och giltighetstid, men INTE CVC-koden på baksidan. För många onlinesäljare räcker dock kortnummer plus giltighetstid för att göra köp, vilket gör att RFID-skydd (en metallförsedd plånbok eller ett RFID-blockerande korthölje) kan vara värt en hundralapp om du går i mycket folkträngsel. Skyddet är inte kritiskt, men det är inte heller meningslöst.
Förlust av kortet eller mobilen, så agerar du
Konsumentskyddet vid obehörig användning av betalkort regleras av Lagen (2010:738) om obehöriga transaktioner med betalningsinstrument. Lagen gäller alla typer av betalningsinstrument, inklusive virtuella kort i mobilen. Tre viktiga punkter:
- Spärra omedelbart. Efter att du anmält att kortet ska spärras ansvarar du inte för någon ytterligare obehörig transaktion enligt 7 §. Varje minut innan dess kan vara värdefull.
- Max-tak för konsument: 12 000 kr vid grov oaktsamhet (exempelvis kort och kod tillsammans i plånboken), 1 200 kr vid lättare oaktsamhet med koden. Helt beloppet endast vid särskilt klandervärt handlande som svek.
- Tidsfrist: 13 månader att underrätta utgivaren om en obehörig transaktion. Längre och du förlorar skyddet.
Vid förlust av mobilen med digital plånbok är processen lite annorlunda: du spärrar kortet hos banken på vanligt sätt, OCH dessutom använder du Hitta min iPhone, Find My Device, eller motsvarande för att fjärradera den digitala plånboken. Eftersom tokens i mobilen är knutna till just den enheten, har en tjuv inte praktisk möjlighet att använda dem utan ditt biometriska godkännande, men spärrar du även på bankens sida säkerställer du att en eventuell luckigenom omedelbart stoppas.
De flesta dyrare bedrägerier idag handlar inte om att klona kort, utan om att lura dig att godkänna betalningar med BankID via telefonsamtal eller meddelanden. Inget kortskydd hjälper när du själv har klickat ”godkänn”. Bankerna ringer aldrig och ber dig signera med BankID över telefon, så lägg på om något sådant händer.
Kort historisk fotnot om Cash-kortet
Sverige hade en kort period (1997 till 2004) med ett särskilt smart card kallat Cash-kortet, ett samarbete mellan FöreningsSparbanken, Handelsbanken, Nordea och SEB. Det fungerade som en elektronisk plånbok där pengar laddades upp till 1 500 kr på chipet från ett bankkonto via särskilda röda Cash-laddare, för att sedan användas för småköp utan PIN-kod. Systemet avvecklades 31 oktober 2004 på grund av låg användning, avgifter på både handlare och konsumenter, och att kortet bara fungerade i Sverige. Idag har funktionen fullständigt ersatts av kontaktlöst EMV-kort och mobil plånbok.
- Dynamisk transaktionskod, kortet kan inte klonas via skimming
- Kontaktlöst köp upp till 400 kr utan att exponera PIN i kassan
- Tokenisering vid mobilbetalning, ditt riktiga kortnummer delas inte
- EMV-standarden global, kortet fungerar likadant världen över
- Vid förlust av mobil kan token spärras direkt från en annan enhet
- Stulet kort kan blippas upp till 400 kr per köp tills PIN krävs
- RFID-avläsning av kortnummer och giltighetstid möjlig på nära håll
- Kortnummer plus CVC räcker för många onlineköp, statisk data
- BankID-bedrägeri (godkänd signering på din egen telefon) kringgår all kort-säkerhet
- Phishing och social manipulation berörs inte av chipets skydd
Slutjämförelse, betalningsteknologier sida vid sida
Tabellen visar hur de olika teknologierna förhåller sig till varandra på säkerhet och praktisk användning. Vill du fördjupa dig i de ekonomiska skillnaderna mellan korttyperna (kreditkort, debetkort, betalkort) görs det bäst på artikeln om olika korttyper. Här fokuserar vi enbart på tekniken.
| Egenskap | Magnetremsa (förlegad) | EMV-chip kontakt | EMV kontaktlöst (NFC) | Mobil plånbok med token |
|---|---|---|---|---|
| Risk för kloning | Hög | Mycket låg | Mycket låg | Praktiskt obefintlig |
| PIN-kod krävs | Beroende på terminal | Ja, vid alla belopp | Nej upp till 400 kr | Ersatt av biometri |
| Krävs fysisk kontakt | Ja | Ja, isatt i terminal | Nej, under 10 cm | Nej, under 10 cm |
| Hastighet i kassan | Långsam | 5 till 10 sek | 1 till 2 sek | 1 till 2 sek |
| Kortnummer delas med säljare | Ja | Ja | Ja | Nej, token istället |
| Fungerar utan internet | Ja | Ibland (offline-läge) | Ibland (offline-läge) | Ja, om token preloadad |
| Vid förlust av enheten | Spärra kortet hos bank | Spärra kortet hos bank | Spärra kortet hos bank | Fjärradera plus spärra kortet |
| Sverige idag | Utfasad | Standard | Standard | Växande |
Kort om vanliga frågor
Är smart card och chipkort samma sak?
Ja. Smart card är den engelska och tekniska termen, chipkort är den svenska vardagstermen. Båda avser ett plastkort med inbyggd mikroprocessor (IC-chip). Alla moderna betalkort i Sverige är smart cards i den meningen. Termen kan också användas för kort som inte är betalkort, exempelvis kollektivtrafikkort och nationella ID-kort.
Vad är gränsen för kontaktlös betalning utan PIN-kod?
I Sverige är gränsen 400 kr per köp sedan 17 april 2020, höjt från tidigare 200 kr. Vid större belopp krävs PIN-kod även vid kontaktlös betalning. Kortet kräver dessutom periodisk PIN-verifiering även under gränsen, antingen efter ett antal kontaktlösa köp i följd eller när det samlade beloppet av kontaktlösa köp överstiger ett intern tröskel.
Vad är skillnaden mellan EMV-kort och vanligt bankkort?
EMV-kort är ett bankkort eller kreditkort som följer den globala EMV-standarden för chip-baserad kommunikation. Sedan magnetremsan fasats ut i Europa är praktiskt taget alla bankkort EMV-kort. Det betyder att termerna i praktiken är synonymer på den svenska marknaden idag.
Är det säkert att blippa kortet?
Ja, säkrare än chip-och-PIN på flera punkter eftersom du inte exponerar PIN-koden i kassan. EMV-chipet genererar en unik transaktionskod varje gång, vilket gör att data som eventuellt avlyssnas är värdelös för andra transaktioner. Den enskilda största risken med kontaktlöst är att en tjuv kan göra upp till 400 kr per köp på ett stulet kort innan PIN krävs, så spärra kortet omedelbart vid misstanke om förlust.
Hur fungerar tokenisering i mobilbetalning?
När du lägger till ett kort i Apple Pay, Google Pay eller liknande genereras en unik token (slumpmässigt nummer) som motsvarar ditt kort men som bara fungerar i just den enheten och med din biometriska eller PIN-verifiering. Vid betalning skickas tokenen, inte ditt riktiga kortnummer, till säljaren. Om säljarens system hackas läcker bara meningslösa tokens, inte ditt kortnummer.
Behöver jag RFID-skydd för plånboken?
Inte kritiskt men inte heller helt onödigt. NFC har mycket kort räckvidd (under 10 cm i praktiken) och kortets data är skyddat så att skimming inte ger en användbar engångskod. Däremot kan en avläsare plocka upp kortnummer och giltighetstid, vilket räcker för att göra vissa onlineköp. Ett enkelt RFID-skydd (hölje eller plånbok) kostar en hundralapp och eliminerar denna risk, så bedömningen är personlig.
Vad gör jag om jag tappar mobilen med digital plånbok?
Spärra kortet hos banken på vanligt sätt OCH fjärradera den digitala plånboken via Hitta min iPhone, Find My Device eller motsvarande. Tokens i mobilen är knutna till enheten och kräver biometrisk eller PIN-verifiering för att användas, så en tjuv har praktiskt taget inte möjlighet att betala med dem. Skyddet enligt Lagen 2010:738 gäller även för virtuella kort på samma sätt som för fysiska kort.