Токенізація платіжних карток і застосування токенів у торговельних мережах

Токенізація картки — це процес заміни конфіденційних даних банківської картки (номера картки (PAN), терміну дії (Expired date), CVV-коду) унікальним цифровим кодом — токеном. Таким чином дані картки не зберігаються в системі продавця або платіжного провайдера. Замість цього використовується унікальний токен, який не можна використовувати для відновлення вихідних даних картки.

Якщо дані про картки не захищені або не токенізовані, зловмисник може отримати доступ до повних даних карток і зловживати ними для шахрайських операцій. Спроби проникнення в бази даних рітейлерів, інтернет-магазинів з метою отримання даних карток для шахраїв стають недоцільними.

Найпоширенішими гаманцями вважаються такі цифрові гаманці, як Apple Pay, Google Pay, Samsung Wallet. Фактично вони стали глобальними гаманцями і стандартом безпечних та зручних платежів.

Сервісом токенізації платіжних карток VISA і Mastercard займаються спеціалізовані сервіси. У Міжнародній платіжній системі (МПС) Mastercard він називається Mastercard Digital Enablement Service (MDES), а у Visa – Visa Token Service (VTS).

Основною відмінністю VTS і MDES є те, що конфіденційні дані платників зберігаються саме в МПС, яка несе за це відповідальність. Для кожного конкретного мерчанта платіжна система випускає свій токен (він називається network token – мережевий токен).

Статистика України за 2024 рік:

Платіжні системи VISA і Mastercard постійно розвивають і вдосконалюють платіжну індустрію, впроваджуючи передові платіжні технології, що забезпечують підвищений захист від незаконного використання рахунків та інших форм шахрайства.

Клієнти вже звикли до використання декількох каналів для здійснення транзакцій, і відповідно торговці пропонують оплату товарів і послуг через мобільні пристрої, мобільні планшети, стаціонарні вітрини планшети, інтернет-комерцію.

Для опису процесів токенізації необхідно дати опис новим сутностям, які застосовуються в технологічному процесі токенізації, а також уточнити завдання щодо вже відомих сутностей, які відіграють важливу роль у процесі токенізації.

Дві найпоширеніші схеми токенізації:

• Токенізація у цифровому гаманці;
• Токенізація на майданчику для інтернет-магазину.

А. Токенізація у цифровому гаманці.

Основні учасники процесу токенізації у цифрових гаманцях:

Етапи токенізації у цифрових гаманцях:

1. Тримач картки вводить дані своєї картки в застосунку гаманця;
2. Провайдер гаманця ST виконує запит з даними картки на сервіс токенізації ST;
3. Сервіс токенізації отримує ці дані і надсилає запит до банку емітента для підтвердження можливості токенізувати картку. Далі виконуються завершальні перевірки активності картки;
4. Потім формується одноразовий код для перевірки клієнта (аутентифікація клієнта шляхом надсилання йому одноразового коду (OTP) через СМС);
5. Код OTP надсилається банку-емітенту;
6. Клієнт отримує код OTP від банку емітента, після чого повинен ввести його в інтерфейсі мобільного додатку цифрового гаманця;
7. Код OTP надсилається на сервіс токенізації та порівнюється з кодом, отриманим від банку;
8. Після успішного підтвердження OTP, сервіс токенізації створює (активує) унікальний токен DPAN і відправляє підтвердження на банк-емітент;
9. Цифровий гаманець отримує унікальний токен для майбутніх платежів з використанням унікального токена.

В. Токенізація на майданчику для інтернет-магазину.

Основні учасники процесу токенізації в інтернет-магазині:

Етапи токенізації для інтернет-магазину:

1. Тримач картки вводить дані своєї картки на сайті магазину;
2. Інтернет-магазин формує запит на токенізацію картки до Token Сервісу TS;
3. Токен Сервіс пересилає запит до банку-емітента для підтвердження можливості токенізувати картку;
4. Банк-емітент підтверджує можливість токенізувати картку;
5. Сервіс токенізації створює унікальний токен DPAN;
6. Банк-емітент отримує інформацію про токен, статус токена і про те, який Token Requestor запитував токен;
7. Інтернет-магазин отримує унікальний токен DPAN. Після цього може відбуватися процес обробки транзакції у платіжну сервіс МПС і банк-емітент для підтвердження платежу.

Процес оплати покупки або послуги з використанням токена починається з першого етапу передачі унікального токена торговцю. В якості торгової площадки може виступати інтернет-магазин або POS-термінал. Найпоширенішим варіантом є POS-термінал, який використовується в торговельних мережах для прийому платежів за допомогою фізичних карток (реальний номер картки) або цифрових гаманців (цифрові гаманці, годинники, каблучки тощо).

Цифрові гаманці є найпоширенішими для оплати токеном у торговельних мережах. Токен безпечно передається продавцю в один тап за допомогою NFC-інтерфейсу між цифровим гаманцем і POS-терміналом.

З основними учасниками процесу токенізації ми вже знайомі, але в цьому процесі беруть участь ще й нові учасники.

Учасники процесу оплати з токеном:

Етапи процесу оплати за токеном:

1. Передача токена торговцю POS-термінал: Замість даних картки FPAN, продавець отримує токен DPAN, який використовується для подальших транзакцій.
2. Обробка платежу банком-еквайром: При кожній оплаті продавець передає токен Процесінгу банку-еквайра. Потім Банк-Еквайр передає транзакцію в платіжну систему МПС.
3. МПС VisaNet, Banknet: Платіжна система визначає, що в транзакції на покупку використовується DPAN, передає запит на де-токенізацію Сервісу Токенізації. Після отримання FPAN ініціює запит вже з реальним номером картки на списання коштів в банк-емітент.
4. Сервіс токенізації: Сервіс токенізації де-токенізує DPAN в реальні дані картки FPAN і повертає в МПС.
5. Банк-емітент: Банк-емітент отримує запит від МПС з FPAN, після успішного проведення транзакції банк підтверджує платіж, а клієнт отримує повідомлення про успішну покупку.

Провайдери цифрових гаманців протягом декількох років вдосконалили процедуру введення картки в цифровій гаманець. Зараз застосовуються кілька варіантів передачі картки. Основною метою таких змін є мінімізація помилок при введенні, прискорення процесу передачі інформації про картку, спрощення для клієнта і найголовніше, виключення окремих етапів у процесі токенізації.

1Manual card entry

Ручне введення номера картки в інтерфейсі цифрового гаманця. Клієнти часто помиляються при введенні, забувають, який номер телефону вони зареєстрували як фінансовий номер у банку-емітенті. Після введення номера картки слідує процедура верифікації та аутентифікації клієнта в банку-емітенті.

2Push \In App Provisioning

Введення через застосунок банку емітента. Функція підготовки даних картки в застосунку банку дозволяє емітентам платіжних карток надавати дані в цифрові гаманці безпосередньо із застосунку емітента в застосунок DWP через операційні системи смартфонів для iOS та Android.

Клієнти вважають такий спосіб передачі дуже зручним, оскільки це дозволяє уникнути помилок при ручному введенні. І емітенти вважають підготовку в застосунку ефективним компонентом взаємодії з DWP.

Для клієнта процес токенізації через застосунок виглядає дуже простим. Клієнт повинен натиснути кнопку «Додати в Apple Wallet» або «Додати в Google wallet», і процес починається. Оскільки процес починається і закінчується в застосунку, він забезпечує роботу без помилок. Користувач отримує готовий результат без додаткових параметрів аутентифікації та аналізу ризикових параметрів, оскільки клієнт вже пройшов аутентифікацію в застосунку банку емітента.

3Tap to Card Add

Зчитування картки за допомогою NFC. Функція Tap-to-Add Card — це нове рішення, що дозволяє тримачу картки безконтактно прикласти картку до свого мобільного пристрою для передачі даних картки в цифровий гаманець.

Крім спрощення процесу оплати та усунення помилок ручного введення, функція Tap-to-Add Card генерує одноразовий код, який включається в повідомлення із запитом на додавання картки і може бути перевірений TS. Така процедура є у Visa.

4Multi Device provisioning

Створення токена з існуючого токена. Рішення Visa Multi-Device Provisioning Solution (MDPS) надає користувачам простіший спосіб прив'язати різні пристрої збережену в цифровому гаманці картку до нового та/або додаткового пристрою.

Це рішення вирішує проблему високого рівня відмов при спробі тримачів картки прив'язати картки до оновлених пристроїв або додати картки на додаткові пристрої. У даному варіанті токенізації пропускається етап перевірки CVV2, спрощується процес прив'язки. Дозволить емітентам збільшити використання токенів і їх проникнення в цифрові гаманці, що може призвести до збільшення кількості активних токенів і карток у більшій кількості пристроїв.

У МПС ця процедура ідентифікації та автентифікації тримача картки називається Identity & Verification (ID&V). Ця процедура є обов'язковою і включена в процес токенізації картки та виконується перед генерацією токена.

Застосовують кілька варіантів аутентифікації: SMS (OTP) на телефон клієнта, дзвінок клієнта в банк-емітент або підтвердження в мобільному застосунку банку-емітента. Додатково зазвичай використовується біометрія (Face ID, відбиток пальця) на смартфоні. Вважається, що така схема забезпечує багаторівневий захист.

Наразі Token Service підтримує такі методи обробки покрокових інструкцій:

Для підтвердження інформації про картку та рахунок (PAN активна картка, ExpData актуальна картка, CVV2 — чи збігається код безпеки) використовується процедура ідентифікації — для того, щоб бути впевненим, що саме тримач картки, який запросив токен, ініціює запит на токенізацію.

В рамках цього процесу Сервіс Токенізації зв'язується з банком емітентом (або процесором емітента) одним з двох варіантів:

• через існуюче ISO-з'єднання з банком емітентом і його системою авторизації;
• через API інтерфейс з банком емітентом і його системою авторизації.

У разі позитивного результату перевірки параметрів ідентифікації та верифікації, відбувається перехід на етап генерації токена.

Додатково, процес ID&V включає використання інструменту управління ризиками, який дозволяє емітентам застосовувати правила і приймати рішень про ризики при обробці запитів на надання токенів. Процедура управління ризиками оцінює дані, надані Token Requestor, для визначення ризику, пов'язаного з кожним запитом. Емітенти створюють і керують своїми правилами надання можливості токенізувати картку з ураховуванням ризиків, щоб оцінити ймовірність того, що клієнт, який намагається токенізувати картку на цифровий гаманець, є дійсно тримачем картки.

Банки-емітенти зобов'язані підтримувати методи поетапної аутентифікації, які будуть застосовуватися, коли правила надання застосовуються до ураховуванням ризику вимагають додаткової аутентифікації. Банк може мати параметри фінансових ризиків або застосовувати інші правила оцінки ризику. На підставі цих показників може запросити додаткову аутентифікацію.

Банки-емітенти зобов'язані підтримувати щонайменше два різних варіанти аутентифікації покрокового доступу: один основний і один (або кілька) додаткових. Одним із варіантів має бути колл-центр. Основний варіант завжди відображається тримачу картки під час активації, як правило, це SMS/OTP на один із телефонів клієнта. В інтерфейсі будуть відображені 4 останні цифри телефону, якщо їх декілька. Клієнт повинен вибрати один.

Інструмент управління життєвим циклом токенів або інший інтерфейс LCM управляє токеном у сховищі Visa Token Vault (в рішенні запитуючої сторони (наприклад, у мобільний застосунок на пристрої споживача в разі мобільного гаманця). Після того, як сервіс Visa Token Service видав токен, запитуюча сторона та емітент повинні підтримувати управління життєвим циклом токена. Зміни в обліковому записі (PAN) або токені вимагають подій управління життєвим циклом.

Події управління життєвим циклом токенів включають в себе:

Банки-емітенти також можуть використовувати додаткові запити управління життєвим циклом:

Запит токена (Token Inquiry):

Емітент запитує список всіх токенів для певного PAN або ідентифікатора PAN.

Запит відомостей про токен (Token Inquiry Detail):

Емітент запитує відомості про токен для певного токена.

Управління життєвим циклом здійснюється за допомогою інструменту Token Lifecycle Management (TLCM), повідомлень ISO, що надсилаються через існуюче з'єднання емітента з TS, або інших API інтерфейсів, які можуть підтримуватися TS. Емітенти повинні підтримувати як мінімум один інтерфейс і повинні виконувати всі запити життєвого циклу.

З якими подіями завзвичай пов'язані команди з управління життєвим циклом токена?

• крадіжка смартфона;
• заміна смартфона;
• втрата картки;
• планований період не використовувати картку;
• ремонт смартфона;
• підозрілі активності з платежами;
• внесення картки до стоп-списку;
• закриття рахунку в банку.

Безпека та контроль ризиків

Головна перевага токенів — захист від витоку даних картки: токен не можна використовувати поза конкретним портативним пристроєм або цифровим гаманцем.

Токени використовуються для безпечного зберігання та багаторазового використання платіжних даних, наприклад, для списків або платежів в інтернет-комерції. Це підвищує безпеку та зручність онлайн-платежів. Клієнту немає необхідності вводити дані картки, він просто вказує посилання на токен.

Платіжні системи застосовують криптографію, моніторинг підозрілих операцій і вимагають відповідності стандартам PCI DSS, PCI SSS.

Застосування токенів для оплати сьогодні

Токени вже сьогодні активно використовуються в різних схемах обслуговування, таких як:

POS-термінали та NFC: при безконтактній оплаті в магазинах смартфоном або смарт-годинником, що робить транзакцію безпечнішою та дуже швидкою.

Мобільні застосунки та інтернет-магазини: замість введення даних картки в сервіс підставляється токен, який є унікальним для конкретного застосунка або продавця, що знижує ризик витоку даних.

Носимі пристрої: смарт-годинники, браслети і навіть фітнес-трекери дозволяють оплачувати покупки без картки і телефону, і все це завдяки вбудованій токенізації.

Переваги токенізації для учасників

Загалом, головна перевага токенізації для всіх учасників — це поєднання безпеки та зручності, яке одночасно знижує ризики та відкриває нові можливості для платежів у різних сферах.

Тримач картки (клієнт):

• Захист персональних даних — номер картки не передається торговцю.
• Зниження ризику шахрайства та крадіжки даних.
• Зручність: оплата смартфоном, годинником, браслетом або іншим пристроєм.
• Можливість використовувати унікальний токен тільки на конкретному пристрої або у конкретного торговця.

Торговець (мерчант):

• Менше ризиків витоку даних карт, отже - менше витрат на безпеку.
• Зниження кількості шахрайських транзакцій і чарджбеків.
• Зростання довіри клієнтів і підвищення конверсії платежів.
• Спрощене управління рекурентними платежами для інтернет-майданчиків (підписки, сервіси).

Банк-емітент і платіжні системи:

• Зниження рівня шахрайства.
• Підвищення лояльності клієнтів завдяки зручності та безпеці.
• Можливість пропонувати нові продукти (токенізація для IoT, авто, підписок).

Технологічні провайдери (Visa, Mastercard, Apple, Google):

• Розширення екосистеми і проникнення в нові сегменти (IoT, авто).
• Створення додаткових сервісів на базі токенізації.

Поточні тренди та майбутнє токенізації

У перспективі токени вийдуть за рамки класичних платежів і використовуватимуться в нових сферах. В автомобілях вбудовані платіжні сервіси дадуть змогу безпечно оплачувати паливо, паркування, проїзд на мостах і платних дорогах. У світі інтернету речей побутова техніка, розумні пристрої зможуть автоматично здійснювати замовлення і платежі. Також токени стануть ключовим інструментом для управління підписками і рекурентними сервісами, забезпечуючи безпечну оплату за стримінгові платформи, доставку та інші регулярні послуги.

Токенізація поступово трансформується з інструменту захисту карток у універсальну технологію з використанням у широкому спектрі галузей, де клієнт (людина) пов'язаний з необхідністю оплати.

У перспективі ми можемо очікувати з'єднання токена з цифровими валютами (CBDC, стейблкойни). Це все може стати реальністю вже скоро