Токенизация платежных карт и применение токенов в торговых сетях Современные технологии безопасности электронных платежей In-App provisioning - ApplePay Подробнее Push provisioning - GooglePay Подробнее Обзор технологии токенизации платежных карт Токенизация карты — это процесс замены конфиденциальных данных банковской карты (номера карты (PAN), срока действия (Expired date), CVV-кода) уникальным цифровым кодом — токеном. Таким образом данные карты не хранятся в системе продавца или платежного провайдера. Вместо этого используется уникальный токен, который нельзя использовать для восстановления исходных данных карты. Важно: Токен нельзя использовать для мошеннических действий, поскольку он не содержит реальной информации о карте и не может быть использован в реальных схемах оплаты. Если данные о картах не защищены или не токенизированы, злоумышленник может получить доступ к полным данным карт и злоупотреблять ими для мошеннических операций. Попытки проникновения в базы данных ритейлеров, интернет-магазинов с целью получения данных карт для мошенников становятся нецелесообразными. Наиболее распространенными кошельками считаются такие цифровые кошельки, как Apple Pay, Google Pay, Samsung Wallet. Фактически они стали глобальными кошельками и стандартом безопасных и удобных платежей. Сервисом токенизации платежных карт VISA и Mastercard занимаются специализированные сервисы. В Международной платежной системе (МПС) Mastercard он называется Mastercard Digital Enablement Service (MDES), а в Visa – Visa Token Service (VTS). Основным отличием VTS и MDES является то, что конфиденциальные данные плательщиков хранятся именно в МПС, которая несет за это ответственность. Для каждого конкретного мерчанта платежная система выпускает свой токен (он называется network token – сетевой токен). Статистика Украины за 2024 год: Количество бесконтактных активных платежных карт увеличилось на 14% до 35 млн карт Количество токенизированных карт увеличилось на 33% до 16,5 млн Каждая четвертая активная платежная карта токенизирована 95% безналичных операций осуществляются через NFC-технологии Платежные системы VISA и Mastercard постоянно развивают и совершенствуют платежную индустрию, внедряя передовые платежные технологии, обеспечивающие повышенную защиту от незаконного использования счетов и других форм мошенничества. Клиенты уже привыкли к использованию нескольких каналов для осуществления транзакций, и соответственно торговцы предлагают оплату товаров и услуг через мобильные устройства, мобильные планшеты, стационарные витрины планшеты, интернет-коммерцию. Для описания процессов токенизации необходимо дать описание новым сущностям, которые применяются в технологическом процессе токенизации, а также уточнить задачи относительно уже известных сущностей, которые играют важную роль в процессе токенизации. FPAN финансовый номер карты, включая срок действия. DPAN уникальный токен для устройства, который заменяет FPAN для торговцев и банка-эквайера. Token Requestor (TR) провайдеры цифровых кошельков, интернет-магазины (сервисы). Заказчиком токенов могут быть как традиционные участники платежной индустрии, так и новые участники, предлагающие различные инновации. Заказчик токенов должен быть зарегистрированным участником технологического процесса токенизации в платежных системах. Digital Wallet Provider (DWP) провайдеры цифровых кошельков и финансовых услуг ApplePay, GooglePay, Samsung Pay. DWP поддерживают технологию токенизации карты и технологию оплаты токеном через NFC в сети приема платежных карт и носимых устройств с токеном. Token Service (TS) сервис токенизации платежных систем, сервис обеспечивает безопасность уникальных токенов и соответствие токенов реальным банковским картам. OTP (one-time password) 4 цифры, используется для аутентификации клиента, инициировавшего процесс токенизации карты. Bank Issuer банки-эмитенты обеспечивают взаимоотношения с владельцами карт, а также выполняют аутентификацию и верификацию клиентов, управляют рисками. Эмитенты поддерживают канал связи с сервисом токенизации и самостоятельно контролируют запросы на предоставление токенов. Bank Acquirer банк-эквайер не принимает участия в процессе токенизации, но он обрабатывает транзакции с токенами так же, как и номера карт. Обработка транзакции включает в себя авторизацию, клиринг, расчеты и другие операции. Merchants, e-Commerce Наземные сети торговли и торговля в Интернете, как платежная инфраструктура, не изменяются. Токены обрабатываются так же, как и реальная карта. POS-терминалы поддерживают транзакции, осуществляемые с мобильных устройств через интерфейс NFC. Интернет-торговцы могут быть как заказчиками токенов, так и принимать токены для оплаты через интеграцию с провайдером электронной коммерции. Процесс токенизации В технологической схеме токенизации задействованы: клиент, банк-эмитент, сервис токенизации, провайдер кошелька или интернет-торговец. Каждый участник играет ключевую роль в обеспечении безопасности и доступности платежей с токенами. Две наиболее распространенные схемы токенизации: Токенизация в цифровом кошельке; Токенизация на площадке для интернет-магазина. А. Токенизация в цифровом кошельке. Основные участники процесса токенизации в цифровых кошельках: Держатель карты (Клиент) держатель платежной карты имеет цифровой кошелек (Apple, Google), который инициирует токенизацию собственной карты через интерфейс в мобильном приложении цифрового кошелька или приложении банка-эмитента. Провайдер цифрового кошелька DWP (Apple, Google) и другие цифровые сервисы Провайдер цифрового кошелька, поддерживающий технологию токенизации карты. Обеспечивает интерфейс с клиентом через мобильное приложение. Сервис токенизации сервис, который заменяет реальные данные карты (FPAN) уникальным токеном (DPAN) с помощью защищенного сетевого шлюза и шифрования. Банк-эмитент подтверждает возможность токенизации платежной карты в соответствии с запросом от Сервиса токенизации и отвечает за подтверждение активности карты и за аутентификацию клиента. Этапы токенизации в цифровых кошельках: Держатель карты вводит данные своей карты в приложении кошелька; Провайдер кошелька ST выполняет запрос с данными карты на сервис токенизации ST; Сервис токенизации получает эти данные и отправляет запрос в банк-эмитент для подтверждения возможности токенизировать карту. Далее выполняются завершающие проверки активности карты; Затем формируется одноразовый код для проверки клиента (аутентификация клиента путем отправки ему одноразового кода (OTP) через СМС); Код OTP отправляется банку-эмитенту; Клиент получает код OTP от банка-эмитента, после чего должен ввести его в интерфейсе мобильного приложения цифрового кошелька; Код OTP отправляется на сервис токенизации и сравнивается с кодом, полученным от банка; После успешного подтверждения OTP, сервис токенизации создает (активирует) уникальный токен DPAN и отправляет подтверждение в банк-эмитент; Цифровой кошелек получает уникальный токен для будущих платежей с использованием уникального токена. рис. Токенизация для цифровых кошельков В. Токенизация на площадке для интернет-магазина. Основные участники процесса токенизации в интернет-магазине: Держатель карты (Клиент) держатель платежной карты имеет цифровой кошелек (Apple, Google), который инициирует токенизацию своей карты через мобильный интерфейс в приложении. Провайдер цифрового кошелька DWP (Apple, Google) и другие цифровые сервисы Провайдер цифрового кошелька, поддерживающий технологию токенизации карты. Обеспечивает интерфейс с клиентом через мобильное приложение. Обеспечивает NFC-интерфейс с POS-терминалами. Сервис токенизации это сервис, который заменяет реальные данные карты (FPAN) уникальным токеном (DPAN) с помощью защищенного сетевого шлюза и шифрования. Банк-эмитент подтверждает возможность токенизации платежной карты в соответствии с запросом от сервиса токенизации и отвечает за подтверждение активности карты и за аутентификацию клиента. рис. Токенизация для интернет-магазина. Этапы токенизации для интернет-магазина: Держатель карты вводит данные своей карты на сайте магазина; Интернет-магазин формирует запрос на токенизацию карты в Token Сервис TS; Токен Сервис пересылает запрос в банк-эмитент для подтверждения возможности токенизировать карту; Банк-эмитент подтверждает возможность токенизировать карту; Сервис токенизации создает уникальный токен DPAN; Банк-эмитент получает информацию о токене, статус токена и о том, какой Token Requestor запросил токен; Интернет-магазин получает уникальный токен DPAN. После этого может происходить процесс обработки транзакции в платежный сервис МПС и банк-эмитент для подтверждения платежа. Процесс оплаты с использованием токена Процесс оплаты покупки или услуги с использованием токена начинается с первого этапа передачи уникального токена торговцу. В качестве торговой площадки может выступать интернет-магазин или POS-терминал. Наиболее распространенным вариантом является POS-терминал, который используется в торговых сетях для приема платежей с помощью физических карт (реальный номер карты) или цифровых кошельков (цифровые кошельки, часы, кольца и т.д.). Цифровые кошельки являются наиболее распространенными для оплаты токеном в торговых сетях. Токен безопасно передается продавцу в один тап с помощью NFC-интерфейса между цифровым кошельком и POS-терминалом. С основными участниками процесса токенизации мы уже знакомы, но в этом процессе принимают участие еще и новые участники. Участники процесса оплаты с токеном: Держатель карты (Клиент) держатель платежной карты, который уже имеет токенизированную карту в цифровом кошельке Google Pay. Провайдер цифрового кошелька DWP (GooglePay) провайдер цифрового кошелька, поддерживающий технологию токенизации карты и технологию оплаты токеном в сети приема платежных карт. Торговец торговая площадка магазин, где используется для приема платежей POS-терминал. Сервис токенизации сервис токенизации платежной системы, который обеспечивает хранение реальных данных (FPAN) и соответственно уникального токена (DPAN). Обрабатывает все запросы взаимодействия между хранилищем токенов (где хранится сопоставление токена с PAN) и гарантирует, что запрашивает токен. Сервис онлайн-платежей и расчетов в МПС VisaNet (VISA), Banknet (Mastercard) — это глобальные процессинговые сети, которые обеспечивают выполнение и авторизацию электронных платежей по картам, объединяя технологии, инфраструктуру и инновации для быстрых и безопасных транзакций между банками, продавцами и держателями карт по всему миру. Банк-эмитент банк, эмитирующий различные карточные продукты, который поддерживает технологию токенизации карт. Банк-эмитент отвечает на авторизационные запросы от МПС к клиентским счетам относительно операций покупки с подтверждением наличия средств на счете карты и списания суммы транзакции со счета. Банк-эквайер предоставляет бизнесу (торговым сетям) услугу эквайринга, позволяя продавцам принимать безналичные платежи от покупателей с использованием банковских карт или других электронных средств оплаты (цифровые кошельки, носимые гаджеты). Эквайер подключает необходимое оборудование (например, POS-терминалы), обрабатывает транзакции, запрашивает авторизацию у банка-эмитента карты и зачисляет деньги на расчетный счет продавца. Этапы процесса оплаты по токену: рис. Оплата покупки в POS-терминале с использованием цифрового кошелька. Передача токена торговцу POS-терминал: Вместо данных карты FPAN, продавец получает токен DPAN, который используется для дальнейших транзакций. Обработка платежа банком-эквайером: При каждой оплате продавец передает токен Процессингу банка-эквайера. Затем Банк-Эквайер передает транзакцию в платежную систему МПС. МПС VisaNet, Banknet: Платежная система определяет, что в транзакции на покупку используется DPAN, передает запрос на де-токенизацию Сервису Токенизации. После получения FPAN инициирует запрос уже с реальным номером карты на списание средств в банк-эмитент. Сервис токенизации: Сервис токенизации де-токенизирует DPAN в реальные данные карты FPAN и возвращает в МПС. Банк-эмитент: Банк-эмитент получает запрос от МПС с FPAN, после успешного проведения транзакции банк подтверждает платеж, а клиент получает уведомление об успешной покупке. Особенности токенизации (передачи информации о карте) Провайдеры цифровых кошельков в течение нескольких лет усовершенствовали процедуру ввода карты в цифровой кошелек. Сейчас применяются несколько вариантов передачи карты. Основной целью таких изменений является минимизация ошибок при вводе, ускорение процесса передачи информации о карте, упрощение для клиента и самое главное, исключение отдельных этапов в процессе токенизации. 1 Manual card entry ручной ввод номера карты в интерфейсе цифрового кошелька. Клиенты часто ошибаются при вводе, забывают, какой номер телефона они зарегистрировали как финансовый номер в банке-эмитенте. После ввода номера карты следует процедура верификации и аутентификации клиента в банке-эмитенте. 2 Push \In App Provisioning ввод через приложение банка-эмитента. Функция подготовки данных карты в приложении банка позволяет эмитентам платежных карт предоставлять данные в цифровые кошельки непосредственно из приложения эмитента в приложение DWP через операционные системы смартфонов для iOS и Android. Клиенты считают такой способ передачи очень удобным, поскольку это позволяет избежать ошибок при ручном вводе. И эмитенты считают подготовку в приложении эффективным компонентом взаимодействия с DWP. Для клиента процесс токенизации через приложение выглядит очень простым. Клиент должен нажать кнопку «Добавить в Apple Wallet» или «Добавить в Google wallet», и процесс начинается. Поскольку процесс начинается и заканчивается в приложении, он обеспечивает работу без ошибок. Пользователь получает готовый результат без дополнительных параметров аутентификации и анализа рисковых параметров, поскольку клиент уже прошел аутентификацию в приложении банка-эмитента. 3 Tap to Card Add Считывание карты с помощью NFC. Функция Tap-to-Add Card — это новое решение, которое позволяет держателю карты бесконтактно приложить карту к своему мобильному устройству для передачи данных карты в цифровой кошелек. Кроме упрощения процесса оплаты и устранения ошибок ручного ввода, функция Tap-to-Add Card генерирует одноразовый код, который включается в сообщение с запросом на добавление карты и может быть проверен TS. Такая процедура есть у Visa. 4 Multi Device provisioning Создание токена из существующего токена. Решение Visa Multi-Device Provisioning Solution (MDPS) предоставляет пользователям более простой способ привязать к различным устройствам сохраненную в цифровом кошельке карту к новому и/или дополнительному устройству. Это решение решает проблему высокого уровня отказов при попытке держателей карт привязать карты к обновленным устройствам или добавить карты на дополнительные устройства. В данном варианте токенизации пропускается этап проверки CVV2, упрощается процесс привязки. Позволит эмитентам увеличить использование токенов и их проникновение в цифровые кошельки, что может привести к увеличению количества активных токенов и карт в большем количестве устройств. Идентификация и аутентификация клиента В МПС эта процедура идентификации и аутентификации держателя карты называется Identity & Verification (ID&V). Эта процедура является обязательной и включена в процесс токенизации карты и выполняется перед генерацией токена. Применяют несколько вариантов аутентификации: SMS (OTP) на телефон клиента, звонок клиента в банк-эмитент или подтверждение в мобильном приложении банка-эмитента. Дополнительно обычно используется биометрия (Face ID, отпечаток пальца) на смартфоне. Считается, что такая схема обеспечивает многоуровневую защиту. Сейчас Token Service поддерживает такие методы обработки пошаговых инструкций: Колл-центр: эмитент предоставляет номер телефона, который отображается в пользовательском интерфейсе решения, запрашивающего токены. Держателю карты предлагается связаться с эмитентом для активации токена. После успешной ID&V проверки держателя карты эмитент уведомляет TS о необходимости активации токена через систему управления жизненным циклом токенов или другие существующие интерфейсы. Аутентификация в мобильном банковском приложении: эмитенты могут реализовать этот метод, интегрировав специальную спецификацию в мобильное банковское приложение эмитента. Держатели карт, которые установили мобильное банковское приложение эмитента, могут пройти аутентификацию, войдя в мобильное банковское приложение эмитента. После успешной аутентификации эмитент отправляет запрос на жизненный цикл или зашифрованную полезную нагрузку для активации токена. В случае подтверждения TS активирует токен и отправляет сообщение в мобильный кошелек запрашивающей стороны для активации на устройстве. Одноразовый пароль (OTP): одноразовый пароль генерируется TS и передается эмитенту. Эмитент отправляет одноразовый пароль держателю карты, используя способ связи (электронная почта или SMS-сообщение на номер мобильного телефона). После получения одноразового пароля держатель карты вводит одноразовый пароль в пользовательский интерфейс цифрового кошелька. Затем DWP передает одноразовый пароль (OTP) сервису токенизации TS. Если одноразовый пароль совпадает с начальным значением, сгенерированным TS, токен активируется. Основная цель процедуры идентификации это быть уверенным в том, что именно держатель карты, который запросил токен, инициирует запрос на токенизацию. Для подтверждения информации о карте и счете (PAN активная карта, ExpData актуальная карта, CVV2 — совпадает ли код безопасности) используется процедура идентификации — для того, чтобы быть уверенным, что именно держатель карты, который запросил токен, инициирует запрос на токенизацию. В рамках этого процесса Сервис Токенизации связывается с банком-эмитентом (или процессором эмитента) одним из двух вариантов: через существующее ISO-соединение с банком-эмитентом и его системой авторизации; через API интерфейс с банком-эмитентом и его системой авторизации. В случае положительного результата проверки параметров идентификации и верификации, происходит переход на этап генерации токена. Дополнительно, процесс ID&V включает использование инструмента управления рисками, который позволяет эмитентам применять правила и принимать решения о рисках при обработке запросов на предоставление токенов. Процедура управления рисками оценивает данные, предоставленные Token Requestor, для определения риска, связанного с каждым запросом. Эмитенты создают и управляют своими правилами предоставления возможности токенизировать карту с учетом рисков, чтобы оценить вероятность того, что клиент, который пытается токенизировать карту в цифровой кошелек, является действительно держателем карты. Банки-эмитенты обязаны поддерживать методы поэтапной аутентификации, которые будут применяться, когда правила предоставления применяются с учетом риска требуют дополнительной аутентификации. Банк может иметь параметры финансовых рисков или применять другие правила оценки риска. На основании этих показателей может запросить дополнительную аутентификацию. Банки-эмитенты обязаны поддерживать как минимум два разных варианта аутентификации пошагового доступа: один основной и один (или несколько) дополнительных. Одним из вариантов должен быть колл-центр. Основной вариант всегда отображается держателю карты во время активации, как правило, это SMS/OTP на один из телефонов клиента. В интерфейсе будут отображены 4 последние цифры телефона, если их несколько. Клиент должен выбрать один. Поддержка жизненного цикла токена Инструмент управления жизненным циклом токенов или другой интерфейс LCM управляет токеном в хранилище Visa Token Vault (в решении запрашивающей стороны (например, в мобильное приложение на устройстве потребителя в случае мобильного кошелька). После того, как сервис Visa Token Service выдал токен, запрашивающая сторона и эмитент должны поддерживать управление жизненным циклом токена. Изменения в учетной записи (PAN) или токене требуют событий управления жизненным циклом. События управления жизненным циклом токенов включают в себя: Активация токена (Activate): некоторые типы токенов могут быть предварительно предоставлены до успешного завершения проверки держателя карты, но позволяет уведомить TS о необходимости активации токена после проверки держателя карты. Удаление (Delete): эмитент может инициировать операцию DELETE от имени потребителя (например, в случае потери устройства) или с целью защиты внутренних рисков и клиента. Это действие навсегда блокирует сопоставление токена с PAN. Держатель карты может УДАЛИТЬ токен непосредственно через пользовательский интерфейс приложения, которое запросило токен. Заказчик токена инициирует удаление от имени держателя карты. Эмитент получает уведомление об удалении токена от TS. Приостановка (Suspend): Эмитент может инициировать приостановку, чтобы временно деактивировать токен (например, в случае поездки клиента или подозрительной активности). Это действие не удаляет токен безвозвратно. Мобильное приложение также может инициировать приостановку на основе внутреннего взаимодействия сервиса. Восстановление (Resume): Эмитент может инициировать восстановление токена (после события SUSPEND), чтобы параметры счета стали доступными для оплаты и пополнения. Обновление срока действия PAN (Update PAN Expiration ): При изменении срока действия токенизированного PAN эмитент обязан предоставить TS новую дату окончания срока действия. TS обновляет дату в хранилище токенов, чтобы продолжить срок действия комбинации токена и PAN. Обновление PAN (Update PAN): когда эмитент изменяет базовый PAN, связанный с активным токеном, эмитент должен уведомить Visa о новой информации о PAN. Затем Visa обновляет сопоставление токена и PAN в хранилище токенов Visa. Это позволяет сопоставить новый PAN с существующим токеном, избавляя владельца карты от необходимости удалять и повторно регистрировать активный токен. Банки-эмитенты также могут использовать дополнительные запросы управления жизненным циклом: Запрос токена (Token Inquiry): Эмитент запрашивает список всех токенов для определенного PAN или идентификатора PAN. Запрос сведений о токене (Token Inquiry Detail): Эмитент запрашивает сведения о токене для определенного токена. Управление жизненным циклом осуществляется с помощью инструмента Token Lifecycle Management (TLCM), сообщений ISO, отправляемых через существующее соединение эмитента с TS, или других API интерфейсов, которые могут поддерживаться TS. Эмитенты должны поддерживать как минимум один интерфейс и должны выполнять все запросы жизненного цикла. С какими событиями обычно связаны команды по управлению жизненным циклом токена? кража смартфона; замена смартфона; потеря карты; планируемый период не использовать карту; ремонт смартфона; подозрительные активности с платежами; внесение карты в стоп-лист; закрытие счета в банке. Безопасность и контроль рисков Главное преимущество токенов — защита от утечки данных карты: токен нельзя использовать вне конкретного портативного устройства или цифрового кошелька. Токены используются для безопасного хранения и многоразового использования платежных данных, например, для списков или платежей в интернет-коммерции. Это повышает безопасность и удобство онлайн-платежей. Клиенту нет необходимости вводить данные карты, он просто указывает ссылку на токен. Платежные системы применяют криптографию, мониторинг подозрительных операций и требуют соответствия стандартам PCI DSS, PCI SSS. Применение токенов для оплаты сегодня Токены уже сегодня активно используются в различных схемах обслуживания, таких как: POS-терминалы и NFC: при бесконтактной оплате в магазинах смартфоном или смарт-часами, что делает транзакцию безопаснее и очень быстрой. Мобильные приложения и интернет-магазины: вместо ввода данных карты в сервис подставляется токен, который является уникальным для конкретного приложения или продавца, что снижает риск утечки данных. Носимые устройства: смарт-часы, браслеты и даже фитнес-трекеры позволяют оплачивать покупки без карты и телефона, и все это благодаря встроенной токенизации. Преимущества токенизации для участников В целом, главное преимущество токенизации для всех участников — это сочетание безопасности и удобства, которое одновременно снижает риски и открывает новые возможности для платежей в различных сферах. Держатель карты (клиент): Защита персональных данных — номер карты не передается торговцу. Снижение риска мошенничества и кражи данных. Удобство: оплата смартфоном, часами, браслетом или другим устройством. Возможность использовать уникальный токен только на конкретном устройстве или у конкретного торговца. Торговец (мерчант): Меньше рисков утечки данных карт, следовательно - меньше затрат на безопасность. Снижение количества мошеннических транзакций и чарджбэков. Рост доверия клиентов и повышение конверсии платежей. Упрощенное управление рекуррентными платежами для интернет-площадок (подписки, сервисы). Банк-эмитент и платежные системы: Снижение уровня мошенничества. Повышение лояльности клиентов благодаря удобству и безопасности. Возможность предлагать новые продукты (токенизация для IoT, авто, подписок). Технологические провайдеры (Visa, Mastercard, Apple, Google): Расширение экосистемы и проникновение в новые сегменты (IoT, авто). Создание дополнительных сервисов на базе токенизации. Текущие тренды и будущее токенизации В перспективе токены выйдут за рамки классических платежей и будут использоваться в новых сферах. В автомобилях встроенные платежные сервисы позволят безопасно оплачивать топливо, парковку, проезд на мостах и платных дорогах. В мире интернета вещей бытовая техника, умные устройства смогут автоматически осуществлять заказы и платежи. Также токены станут ключевым инструментом для управления подписками и рекуррентными сервисами, обеспечивая безопасную оплату за стриминговые платформы, доставку и другие регулярные услуги. Токенизация постепенно трансформируется из инструмента защиты карт в универсальную технологию с использованием в широком спектре отраслей, где клиент (человек) связан с необходимостью оплаты. В перспективе мы можем ожидать соединения токена с цифровыми валютами (CBDC, стейблкоины). Это все может стать реальностью уже скоро