Vysvetlenie: Ako môžu tokeny namiesto údajov o kreditnej karte zvýšiť bezpečnosť transakcií

Reserve Bank of India umožňuje tokenizáciu kariet pri uskutočňovaní platieb. Čo to znamená a ako to funguje?

Podľa RBI môžu subjekty na sledovanie transakcií a zosúlaďovanie uchovávať obmedzené údaje v súlade s platnými normami.

Mnohí obchodníci a subjekty elektronického obchodu nútia zákazníkov uchovávať údaje o debetných alebo kreditných kartách, čo zvyšuje riziko odcudzenia údajov o karte. Tomu sa teraz dá vyhnúť, pretože Reserve Bank of India umožňuje tokenizáciu kariet pri uskutočňovaní platieb.

Čo je tokenizácia?

Ide o nahradenie údajov o karte alternatívnym kódom nazývaným „token“, ktorý je jedinečný pre kombináciu karta, žiadateľ o token (subjekt, ktorý prijme požiadavku zákazníka na tokenizáciu karty a odošle ju na kartu sieť na vydanie tokenu) a zariadenie, hovorí RBI. Znižuje šance na podvody vyplývajúce zo zdieľania údajov o karte. Token sa používa na vykonávanie transakcií bezkontaktnou kartou na termináloch v mieste predaja (PoS) a platby pomocou QR kódu.

RBI tiež rozšírila tokenizáciu transakcií Card-on-File (CoF) – kde si obchodníci uchovávali podrobnosti o karte – a nariadila obchodníkom, aby od 1. januára 2022 neukladali podrobnosti o karte vo svojich systémoch. Transakcia CoF je jedna v ktorej držiteľ karty oprávnil obchodníka na uloženie jeho platobných údajov Mastercard alebo Visa a na fakturáciu uloženého účtu. Spoločnosti elektronického obchodu a letecké spoločnosti a reťazce supermarketov často uchovávajú podrobnosti o karte.

S účinnosťou od 1. januára 2022 by žiadny subjekt v kartovej transakcii alebo platobnom reťazci okrem vydavateľov kariet a sietí kariet nemal uchovávať skutočné údaje o karte. Všetky takéto údaje uložené predtým budú vyčistené, uviedla RBI v obežníku. RBI predtým zakázala ukladanie údajov v marci 2020, ale predĺžila termín do 31. decembra 2021.

Ako funguje tokenizácia?

Držiteľ karty môže získať tokenizáciu karty spustením žiadosti v aplikácii poskytnutej žiadateľom o token. Žiadateľ o token postúpi požiadavku do siete kariet, ktorá so súhlasom vydavateľa karty vydá token zodpovedajúci kombinácii karty, žiadateľa o token a zariadenia. Tokenizácia bola povolená prostredníctvom mobilných telefónov alebo tabletov pre všetky prípady použitia a kanály, ako sú transakcie bezkontaktnými kartami, platby prostredníctvom QR kódov a aplikácií, podľa RBI.

Tokeny generujú spoločnosti ako Visa a MasterCard, ktoré pôsobia ako poskytovatelia tokenových služieb (TSP), a poskytujú tokeny platformám mobilných platieb alebo elektronického obchodu, aby ich bolo možné použiť počas transakcií namiesto údajov o kreditnej karte zákazníka.

Keď používatelia zadajú podrobnosti o svojej karte do virtuálnej peňaženky, ako je Google Pay alebo PhonePe, tieto platformy požiadajú jedného z týchto TSP o token. Poskytovatelia služieb najskôr požiadajú banku zákazníka o overenie údajov. Po overení údajov sa vygeneruje kód a odošle sa do zariadenia používateľa. Po vygenerovaní jedinečného tokenu zostáva nezvratne spojený so zariadením zákazníka a nemožno ho nahradiť. Zakaždým, keď zákazník použije svoje zariadenie na uskutočnenie platby, platforma bude môcť transakciu autorizovať jednoduchým zdieľaním tokenu bez toho, aby musela odhaliť skutočné údaje zákazníka. Tokeny možno generovať na ochranu platieb v mobilných peňaženkách a fyzických alebo internetových obchodoch, ako je Amazon. Zoznam kartových sietí oprávnených RBI pôsobiť v Indii je k dispozícii na nasledujúcej stránke odkaz.

Kto môže tokenizovať karty?

RBI povolila vydavateľom kariet pôsobiť ako TSP, ktorí budú ponúkať tokenizačné služby iba pre karty, ktoré vydali alebo sú s nimi spojené. Možnosť tokenizácie a detokenizácie údajov karty bude s rovnakým TSP. Tokenizácia údajov o karte sa uskutoční s výslovným súhlasom zákazníka vyžadujúcim overenie dodatočným faktorom overenia (AFA) vydavateľom karty, uviedla RBI.

Pri transakcii tokenizovanou kartou sú zvyčajne zainteresovanými stranami obchodník, nadobúdateľ obchodníka, sieť platobných kariet, žiadateľ o token, vydavateľ a zákazník. Registrácia na žiadosť o tokenizáciu sa vykonáva iba s výslovným súhlasom zákazníka prostredníctvom AFA, a nie prostredníctvom vynúteného, ​​predvoleného alebo automatického výberu začiarkavacieho políčka, prepínača atď. Zákazníci budú mať tiež možnosť vybrať si prípad použitia a nastavenie limitov. Zákazníci majú možnosť nastaviť a upraviť transakčné a denné transakčné limity pre tokenizované transakcie kartou.

Čo sa stane po tokenizácii?

Podľa RBI môžu subjekty na sledovanie transakcií a zosúlaďovanie uchovávať obmedzené údaje – posledné štyri číslice skutočného čísla karty a mena vydavateľa karty – v súlade s platnými normami. Aktuálne údaje o karte, token a ďalšie relevantné podrobnosti sú uložené v zabezpečenom režime prostredníctvom autorizovaných sietí kariet. Žiadateľ o token nemôže uložiť číslo karty ani žiadny iný detail karty. Siete kariet sú tiež povinné získať certifikát žiadateľa o token z hľadiska bezpečnosti v súlade s medzinárodnými osvedčenými postupmi / celosvetovo uznávanými štandardmi.

Zákazník si môže vybrať, či nechá svoju kartu tokenovať alebo nie. Okrem toho by mal vydavateľ karty poskytnúť držiteľovi karty možnosť zobraziť si zoznam obchodníkov, pre ktorých sa rozhodol pre transakcie CoF, a zrušiť registráciu takéhoto tokenu.

Prečo sa RBI chystá na tokenizáciu?

Odvolávajúc sa na pohodlie a komfort pre používateľov pri vykonávaní kartových transakcií online, mnohé subjekty zapojené do kartových transakcií ukladajú skutočné podrobnosti o karte, čo je CoF. V skutočnosti niektorí obchodníci nútia svojich zákazníkov uchovávať údaje o karte. Dostupnosť takýchto údajov u veľkého počtu obchodníkov podstatne zvyšuje riziko odcudzenia údajov o karte, uviedla RBI.

V nedávnej minulosti sa vyskytli prípady, kedy došlo k ohrozeniu alebo úniku údajov o kartách uložených niektorými obchodníkmi. Akýkoľvek únik údajov CoF môže mať vážne následky, pretože mnohé jurisdikcie nevyžadujú AFA pre kartové transakcie. Údaje o ukradnutých kartách môžu byť tiež použité na páchanie podvodov v Indii prostredníctvom techník sociálneho inžinierstva, uviedla RBI.

Newsletter| Kliknutím dostanete do doručenej pošty najlepšie vysvetlivky dňa

Zdieľajte So Svojimi Priateľmi: