Объяснение: как токены вместо данных кредитной карты могут сделать транзакции более безопасными

Резервный банк Индии разрешает токенизацию карт при совершении платежей. Что это значит и как это работает?

Согласно RBI, для отслеживания и согласования транзакций организации могут хранить ограниченные данные в соответствии с применимыми стандартами.

Многие продавцы и субъекты электронной коммерции заставляют клиентов хранить данные дебетовой или кредитной карты, что увеличивает риск кражи данных карты. Этого можно избежать, теперь Резервный банк Индии разрешает токенизацию карт при совершении платежей.

Что такое токенизация?

Это относится к замене реквизитов карты альтернативным кодом, называемым `` токен '', который является уникальным для комбинации карты, запрашивающей токен (сущность, которая принимает запрос от клиента на токенизацию карты и передает его карте). сеть для выпуска токена) и устройство, сообщает RBI. Это снижает вероятность мошенничества, связанного с предоставлением данных карты. Токен используется для выполнения транзакций по бесконтактным картам в торговых точках (PoS) и платежей с помощью QR-кода.

RBI также расширил токенизацию транзакций Card-on-File (CoF), где данные карты обычно хранились продавцами, и дал указание продавцам не хранить данные карт в своих системах с 1 января 2022 года. Транзакция CoF является одной из них. в котором владелец карты уполномочил продавца хранить его или ее платежные реквизиты Mastercard или Visa и выставлять счет на сохраненный счет. Компании электронной коммерции, авиакомпании и сети супермаркетов часто хранят реквизиты карт.

С 1 января 2022 года ни одно лицо в цепочке транзакций или платежей по карте, кроме эмитентов карт и сетей карт, не должно хранить фактические данные карты. Любые такие данные, сохраненные ранее, будут удалены, говорится в циркуляре RBI. RBI ранее запретил хранение данных в марте 2020 года, но продлил крайний срок до 31 декабря 2021 года.

Как работает токенизация?

Владелец карты может получить токенизацию карты, инициировав запрос в приложении, предоставленном запрашивающим токен. Запросчик токена направит запрос в сеть карт, которая с согласия эмитента карты выдаст токен, соответствующий комбинации карты, запрашивающего токена и устройства. По данным RBI, токенизация разрешена через мобильные телефоны или планшеты для всех вариантов использования и каналов, таких как транзакции с бесконтактными картами, платежи с помощью QR-кодов и приложений.

Токены генерируются такими компаниями, как Visa и MasterCard, которые действуют как поставщики услуг токенов (TSP), и предоставляют токены платформам мобильных платежей или электронной коммерции, чтобы их можно было использовать во время транзакций вместо данных кредитной карты клиента.

Когда пользователи вводят данные своей карты в виртуальный кошелек, такой как Google Pay или PhonePe, эти платформы запрашивают токен у одного из этих операторов связи. Провайдеры услуг связи сначала запросят подтверждение данных у банка клиента. После проверки данных генерируется код, который отправляется на устройство пользователя. После создания уникального токена он остается необратимо связанным с устройством клиента и не может быть заменен. Таким образом, каждый раз, когда клиент использует свое устройство для совершения платежа, платформа сможет авторизовать транзакцию, просто поделившись токеном, без необходимости раскрывать истинные данные клиента. Токены могут быть созданы для защиты платежей в мобильных кошельках, а также в физических или интернет-магазинах, таких как Amazon. Список сетей карт, разрешенных RBI для работы в Индии, доступен на следующих сайтах: ссылка на сайт.

Кто может токенизировать карты?

RBI разрешил эмитентам карт выступать в качестве операторов связи, которые будут предлагать услуги токенизации только для карт, выпущенных ими или связанных с ними. Возможность токенизации и дебетокенизации данных карты будет с одним и тем же TSP. По сообщению RBI, токенизация данных карты будет осуществляться с явного согласия клиента, требующего подтверждения дополнительного фактора аутентификации (AFA) со стороны эмитента карты.

Обычно в транзакции с токенизированной картой заинтересованными сторонами являются продавец, эквайер продавца, платежная сеть по карте, инициатор запроса токена, эмитент и покупатель. Регистрация для запроса токенизации осуществляется только с явного согласия клиента через AFA, а не путем принудительного, автоматического или автоматического выбора флажка, переключателя и т. Д. Клиентам также будет предоставлен выбор для выбора варианта использования и установка лимитов. Клиенты имеют возможность устанавливать и изменять лимиты на транзакции и ежедневные транзакции для транзакций с токенизированными картами.

Что происходит после токенизации?

Согласно RBI, для отслеживания транзакций и сверки организации могут хранить ограниченные данные - последние четыре цифры фактического номера карты и название эмитента карты - в соответствии с применимыми стандартами. Актуальные данные карты, токен и другие важные данные хранятся в безопасном режиме авторизованными сетями карт. Запрашивающий токен не может хранить номер карты или любую другую информацию о карте. Карточные сети также обязаны сертифицировать запрашивающую токены сторону безопасности в соответствии с передовой международной практикой / общепринятыми стандартами.

Клиент может выбрать, следует ли токенизировать свою карту. Кроме того, эмитент карты должен также предоставить держателю карты возможность просматривать список продавцов, для которых он или она выбрали транзакции CoF, и отменить регистрацию любого такого токена.

Почему RBI идет на токенизацию?

Ссылаясь на удобство и удобство для пользователей при проведении транзакций по картам в Интернете, многие организации, участвующие в транзакциях по картам, хранят фактические данные карты, то есть CoF. Фактически, некоторые продавцы заставляют своих клиентов хранить данные карты. По заявлению RBI, доступность таких данных у большого количества продавцов существенно увеличивает риск кражи данных карты.

В недавнем прошлом имели место инциденты, когда данные карт, хранящиеся у некоторых продавцов, были скомпрометированы или утекли. Любая утечка данных CoF может иметь серьезные последствия, потому что во многих юрисдикциях не требуется AFA для транзакций по картам. По заявлению RBI, украденные данные карты также могут быть использованы для совершения мошенничества в Индии с помощью методов социальной инженерии.

Новостная рассылка| Нажмите, чтобы получать лучшие объяснения дня на свой почтовый ящик

ПОДЕЛИТЕСЬ С ДРУЗЬЯМИ: