Google Wallet: nó là gì, tính năng và nguyên lý hoạt động

Google Wallet là gì?

Google Wallet là một ứng dụng di động và nền tảng để lưu trữ và sử dụng các phiên bản kỹ thuật số của thẻ thanh toán, thẻ đi lại, thẻ lên máy bay, thẻ sinh viên, chìa khóa xe hơi và thẻ khách hàng thân thiết. Ra mắt năm 2011 với tên Google Wallet, dịch vụ này đã trải qua nhiều lần đổi thương hiệu cho đến năm 2022 Google đưa lại tên Wallet, kết hợp chức năng của Google Pay và Wallet gốc.

Nền tảng này có sẵn trên các thiết bị Android và Wear OS, cũng như qua giao diện web. Năm 2024, Google mở rộng hỗ trợ lên iOS thông qua các ứng dụng Google. Triết lý của Wallet là thay thế ví vật lý bằng phiên bản kỹ thuật số — người dùng tải thẻ và tài liệu vào ứng dụng và sử dụng chúng bằng cách chạm điện thoại vào thiết bị đầu cuối NFC.

Các tính năng chính cho người dùng

Người dùng có thể thêm tối đa 20 thẻ thanh toán và số lượng không giới hạn thẻ đi lại và vé sự kiện. Mỗi thẻ được tạo một token riêng biệt gắn với thiết bị. Khi thanh toán, thiết bị đầu cuối nhận được không phải số thẻ thật mà là mã kỹ thuật số dùng một lần. Nếu điện thoại bị mất, tất cả token đều bị vô hiệu hóa từ xa qua dịch vụ Find My Device.

Ngoài thanh toán, Wallet hỗ trợ chìa khóa xe kỹ thuật số cho BMW, Hyundai, Volvo và các thương hiệu khác. Người dùng mở và khởi động xe bằng cách chạm điện thoại vào tay nắm cửa. Năm 2025, Google đã công bố hỗ trợ giấy tờ tùy thân kỹ thuật số tại một số bang của Mỹ.

Phạm vi địa lý và mức độ phổ biến

Tính đến đầu năm 2026, Google Wallet có mặt tại 90 quốc gia trên thế giới. Hỗ trợ thanh toán không tiếp xúc hoạt động tại 80 quốc gia, vé giao thông — tại 35, giấy tờ tùy thân kỹ thuật số — tại 4. Các thị trường lớn nhất: Mỹ, Ấn Độ, Nhật Bản, Anh, Đức và Brazil. Dịch vụ không khả dụng tại Nga từ năm 2022.

Google Wallet hoạt động như thế nào: token hóa và NFC

Về mặt kỹ thuật, Google Wallet sử dụng hai cơ chế chính: token hóa dữ liệu thanh toán và giao thức NFC để truyền token đến thiết bị đầu cuối. Token hóa đảm bảo rằng PAN (Primary Account Number) thực của thẻ ngân hàng không bao giờ rời khỏi thiết bị. Thay vào đó, hệ thống thanh toán phát hành Device Account Number — một số ảo gắn với điện thoại cụ thể.

Khi người dùng chạm điện thoại vào thiết bị đầu cuối, bộ điều khiển NFC (thường được tích hợp trong chipset Qualcomm hoặc MediaTek) tạo một kênh bảo mật với thiết bị đầu cuối thanh toán. Qua kênh này, một mã mật mã được truyền đi — mã động được tạo dựa trên token, thời gian và số giao dịch một lần. Người bán chỉ thấy mã mật mã, không thấy dữ liệu thẻ.

Vai trò của Trusted Execution Environment

TEE (Trusted Execution Environment) là một khu vực cách ly bên trong bộ xử lý hoạt động song song với hệ điều hành Android chính. Ngay cả khi hệ điều hành bị xâm phạm, dữ liệu bên trong TEE vẫn được bảo vệ. Google Wallet lưu trữ token độc quyền trong TEE. Các thao tác ký giao dịch được thực hiện bên trong môi trường cách ly này — cả ứng dụng Wallet và các tiến trình bên thứ ba đều không có quyền truy cập trực tiếp vào chúng.

Để bảo vệ bổ sung, Hardware Attestation được sử dụng — một cơ chế mà chip điện thoại chứng minh với máy chủ Google rằng thiết bị không bị root, bộ nạp khởi động không bị mở khóa và TEE không bị sửa đổi. Nếu xác minh thất bại, các chức năng thanh toán sẽ bị chặn.

Quy trình thêm thẻ

Thêm thẻ thanh toán mới vào Google Wallet bao gồm một số bước xác minh. Sau khi nhập số thẻ thủ công hoặc quét qua camera, ứng dụng gửi dữ liệu đến cổng thanh toán Google. Ngân hàng phát hành nhận được yêu cầu token hóa qua Visa Token Service (VTS) hoặc Mastercard Digital Enablement Service (MDES). Ngân hàng kiểm tra CVV và mã 3DS, sau đó phát hành Device Account Number. Số này được ghi vào TEE của điện thoại. Toàn bộ quá trình mất 30–60 giây.

Các tính năng chính của Google Wallet

Google Wallet đã vượt qua vai trò của một ứng dụng thanh toán đơn giản và trở thành một hệ sinh thái tài liệu kỹ thuật số. Dưới đây là các danh mục chính của các mục có thể lưu trữ trong ví.

• Thẻ thanh toán — thẻ tín dụng và ghi nợ Visa, Mastercard, American Express, Mir (đến 2022), UnionPay, RuPay. Được thêm qua camera hoặc nhập thủ công.
• Thẻ đi lại — thẻ cho tàu điện ngầm, xe buýt và tàu hỏa tại 35 quốc gia. Ở một số thành phố (London, New York, Tokyo), việc nạp tiền diễn ra tự động.
• Thẻ lên máy bay và vé — các hãng hàng không Lufthansa, KLM, Air France, United, Delta gửi thẻ trực tiếp vào Wallet. Rạp chiếu phim và địa điểm hòa nhạc — mã vạch vé.
• Chương trình khách hàng thân thiết — thẻ cửa hàng, quán cà phê và hãng hàng không. Ứng dụng hiển thị điểm tích lũy và phiếu giảm giá có sẵn.

Mỗi mục có kiểu Object riêng trong Passes API: LoyaltyObject, OfferObject, GiftCardObject, TransitObject, EventTicketObject và FlightObject. Mỗi đối tượng chứa các trường cho tên, logo, mã vạch, ngày hết hạn và thông tin bổ sung.

Tích hợp với Wear OS

Trên đồng hồ Wear OS, Google Wallet hoạt động độc lập — đồng hồ có ăng-ten NFC riêng và có thể thực hiện thanh toán mà không cần kết nối với điện thoại. Để làm điều này, thẻ được sao chép vào TEE của đồng hồ qua kết nối Bluetooth. Chỉ cần nhấn nút nguồn hai lần — Wallet mở ra và bạn có thể chạm đồng hồ vào thiết bị đầu cuối. Vé giao thông và thẻ khách hàng thân thiết cũng được hỗ trợ.

Chìa khóa xe kỹ thuật số

Tính năng chìa khóa kỹ thuật số sử dụng giao thức UWB (Ultra-Wideband) để xác định chính xác khoảng cách đến xe. Một điện thoại có chip UWB (ví dụ: Pixel 9 Pro hoặc Samsung Galaxy S25) có thể mở cửa mà không cần lấy ra khỏi túi — chỉ cần đến gần. Chìa khóa có thể được chia sẻ với người dùng Wallet khác qua Google Messages trong thời gian giới hạn.

Google Wallet Passes API cho nhà phát triển

Passes API là một REST API từ Google cho phép nhà phát triển tạo, cập nhật và gửi thẻ kỹ thuật số vào Google Wallet của người dùng. API hỗ trợ định dạng yêu cầu JSON và xác thực qua OAuth 2.0. Nhà phát triển có thể tạo đối tượng theo chương trình và gửi chúng đến thiết bị của người dùng cụ thể qua liên kết hoặc thông báo push.

{
  "id": "33880000000000001",
  "classId": "IT_SECTR_LOYALTY_CLASS",
  "state": "ACTIVE",
  "barcode": {
    "type": "QR_CODE",
    "value": "ITSECTR2026"
  },
  "loyaltyPoints": { "balance": { "int": 350 } }
}

Trong ví dụ, một thẻ khách hàng thân thiết với mã QR và số dư 350 điểm được tạo ra. Đối tượng chứa tham chiếu đến lớp IT_SECTR_LOYALTY_CLASS, nơi các tham số trực quan được xác định: màu sắc, logo, văn bản. Lớp được tạo một lần, các đối tượng — cho mỗi người dùng. Cách tiếp cận này tiết kiệm yêu cầu API và cho phép cập nhật hàng loạt thiết kế của tất cả thẻ.

Các phương thức API chính

API cung cấp các phương thức để tạo lớp và đối tượng, cập nhật, lấy danh sách và xóa. Các yêu cầu được gửi đến URL cơ sở https://walletobjects.googleapis.com/walletobjects/v1. Xác thực được thực hiện qua tài khoản dịch vụ Google Cloud với vai trò Editor. Token truy cập được yêu cầu qua OAuth 2.0 với phạm vi https://www.googleapis.com/auth/wallet_object.issuer.

Yêu cầu về nội dung

Mỗi đối tượng được gửi đến ví đều trải qua kiểm duyệt của Google — kiểm tra tuân thủ quy tắc thương hiệu, không có thư rác và tính chính xác của mã vạch. Logo phải có độ phân giải tối thiểu 300x300 px, văn bản phải vừa trong khu vực xem trên màn hình điện thoại. Thời gian xem xét trung bình là 1–2 ngày làm việc.

Bảo mật và quyền riêng tư của Google Wallet

Bảo mật của Google Wallet được xây dựng trên ba cấp độ: bảo vệ phần cứng (TEE, Hardware Attestation), bảo vệ mạng (TLS 1.3, token hóa) và kiểm soát của người dùng (sinh trắc học, Find My Device, xóa từ xa). Mỗi cấp độ bao phủ một vectơ tấn công cụ thể — từ truy cập vật lý vào thiết bị đến đánh cắp dữ liệu trong mạng thanh toán.

Theo báo cáo của Google Security Blog (2025), không có một trường hợp xâm phạm dữ liệu thanh toán được lưu trữ trong TEE nào được ghi nhận kể từ năm 2022. Tất cả các sự cố bảo mật đều liên quan đến tấn công lừa đảo, nơi người dùng tự nhập dữ liệu thẻ trên các trang web giả mạo. Để chống lừa đảo, Google đã đưa ra các cảnh báo theo ngữ cảnh trong ứng dụng.

Quản lý token từ xa

Nếu điện thoại bị mất hoặc bị đánh cắp, chủ sở hữu có thể truy cập trang web Find My Device và chọn tùy chọn “Xóa dữ liệu”. Sau đó, tất cả token trong TEE đều bị vô hiệu hóa — các thiết bị đầu cuối thanh toán sẽ từ chối giao dịch từ thiết bị này. Ngoài ra, Google thu hồi chứng chỉ Hardware Attestation của chip cụ thể, vì vậy ngay cả khôi phục cài đặt gốc cũng không khôi phục được chức năng thanh toán trên thiết bị này.

Quyền riêng tư và dữ liệu người dùng

Google không lưu trữ lịch sử giao dịch trong Wallet. Mỗi giao dịch được xử lý bởi ngân hàng phát hành và Google chỉ hoạt động như một lớp vận chuyển. Vị trí của thiết bị không được truyền cho người bán — thiết bị đầu cuối chỉ nhận token và mã mật mã. Ngoại lệ là vé giao thông, nơi ga vào/ra được ghi lại để tính cước.

Google Wallet và Google Pay: sự khác biệt

Sau khi đổi thương hiệu năm 2022, nhiều người dùng vẫn còn nhầm lẫn về sự khác biệt giữa Google Wallet và Google Pay. Câu trả lời ngắn gọn: Wallet là ứng dụng (giao diện người dùng + lưu trữ), Google Pay là lớp công nghệ (API + token hóa + cổng thanh toán NFC). Google Pay như một thương hiệu vẫn tồn tại ở Ấn Độ và Singapore, nơi nó hoạt động như một hệ thống thanh toán P2P qua giao thức UPI.

Trên thực tế, đối với người dùng bên ngoài Ấn Độ, tất cả chỉ gói gọn trong một điều: mở Google Wallet, chạm điện thoại vào thiết bị đầu cuối — thanh toán được thực hiện qua công nghệ Google Pay, nhưng bạn chỉ thấy giao diện Wallet. Đối với nhà phát triển, tích hợp thanh toán được thực hiện qua Google Pay API (một phần của Google Wallet SDK) và quản lý thẻ qua Passes API riêng biệt.