Explicació: com els fitxes en comptes dels detalls de la targeta de crèdit poden fer que les transaccions siguin més segures

El Reserve Bank of India permet la tokenització de targetes mentre es fan els pagaments. Què vol dir això i com funciona?

Segons l'RBI, per al seguiment i la reconciliació de transaccions, les entitats poden emmagatzemar dades limitades d'acord amb els estàndards aplicables.

Molts comerciants i entitats de comerç electrònic obliguen els clients a emmagatzemar els detalls de la targeta de dèbit o de crèdit, la qual cosa augmenta el risc que les dades de la targeta siguin robades. Això es pot evitar ara amb el Reserve Bank of India que permet la tokenització de les targetes mentre es fan els pagaments.

edat de David Gandy

Què és la tokenització?

Es refereix a la substitució de les dades de la targeta per un codi alternatiu anomenat 'token', que és únic per a una combinació de targeta i sol·licitant de testimoni (l'entitat que accepta una sol·licitud del client per a la tokenització d'una targeta i la passa a la targeta. xarxa per emetre un testimoni) i el dispositiu, diu l'RBI. Redueix les possibilitats de frau derivats de compartir els detalls de la targeta. El testimoni s'utilitza per realitzar transaccions amb targeta sense contacte en terminals de punt de venda (PoS) i pagaments amb codi QR.

L'RBI també ha estès la tokenització de les transaccions amb targeta a l'arxiu (CoF) —on els comerciants solien emmagatzemar els detalls de la targeta— i ha ordenat als comerciants que no emmagatzemin els detalls de la targeta als seus sistemes a partir de l'1 de gener de 2022. Una transacció CoF és una en què un titular de la targeta ha autoritzat un comerciant a emmagatzemar les seves dades de pagament Mastercard o Visa i facturar el compte emmagatzemat. Les empreses de comerç electrònic i les companyies aèries i les cadenes de supermercats solen emmagatzemar els detalls de la targeta.

Amb efecte a partir de l'1 de gener de 2022, cap entitat de la cadena de transaccions o pagaments amb targeta, excepte els emissors de la targeta i les xarxes de targetes, hauria d'emmagatzemar les dades reals de la targeta. Qualsevol dada d'aquest tipus emmagatzemada anteriorment serà purgada, va dir l'RBI en una circular. L'RBI havia prohibit anteriorment l'emmagatzematge de dades el març de 2020, però va ampliar el termini fins al 31 de desembre de 2021.

Com funciona la tokenització?

El titular de la targeta pot obtenir el testimoni de la targeta iniciant una sol·licitud a l'aplicació proporcionada pel sol·licitant del testimoni. El sol·licitant del testimoni reenviarà la sol·licitud a la xarxa de targetes que, amb el consentiment de l'emissor de la targeta, emetrà un testimoni corresponent a la combinació de la targeta, el sol·licitant del testimoni i el dispositiu. La tokenització s'ha permès a través de telèfons mòbils o tauletes per a tots els casos d'ús i canals com transaccions amb targeta sense contacte, pagaments mitjançant codis QR i aplicacions, segons l'RBI.

Els tokens els generen empreses com Visa i MasterCard, que actuen com a proveïdors de serveis de tokens (TSP), i els proporcionen a plataformes de pagament mòbil o de comerç electrònic perquè es puguin utilitzar durant les transaccions en lloc de les dades de la targeta de crèdit del client.

Quan els usuaris introdueixen les dades de la seva targeta en una cartera virtual com Google Pay o PhonePe, aquestes plataformes demanen un testimoni a un d'aquests TSP. Els TSP sol·licitaran primer la verificació de les dades al banc del client. Quan les dades s'han verificat, es genera un codi i s'envia al dispositiu de l'usuari. Un cop generat el testimoni únic, roman vinculat de manera irreversible al dispositiu del client i no es pot substituir. Així, cada vegada que un client utilitzi el seu dispositiu per fer un pagament, la plataforma podrà autoritzar la transacció simplement compartint el testimoni, sense haver de revelar les dades reals del client. Es poden generar fitxes per salvaguardar els pagaments en carteres mòbils i botigues físiques o en línia com Amazon. La llista de xarxes de targetes autoritzades per RBI per operar a l'Índia està disponible a continuació enllaç.

Qui pot tokenitzar targetes?

L'RBI ha permès als emissors de targetes actuar com a TSP, que oferiran serveis de tokenització només per a targetes emeses per ells o afiliades a ells. La capacitat de tokenitzar i desactivar les dades de la targeta serà amb el mateix TSP. La tokenització de les dades de la targeta es farà amb el consentiment explícit del client que requereixi la validació del factor addicional d'autenticació (AFA) per part de l'emissor de la targeta, va dir l'RBI.

Normalment, en una transacció amb targeta tokenitzada, les parts interessades són el comerciant, l'adquirent del comerciant, la xarxa de pagaments amb targeta, el sol·licitant del testimoni, l'emissor i el client. El registre d'una sol·licitud de tokenització només es fa amb el consentiment explícit del client a través d'AFA, i no mitjançant una selecció forçada, predeterminada o automàtica de casella de selecció, botó d'opció, etc. Els clients també tindran l'opció de seleccionar el cas d'ús i establint límits. Els clients tenen l'opció d'establir i modificar límits per transacció i transaccions diàries per a les transaccions amb targeta tokenitzada.

Què passa després de la tokenització?

Segons l'RBI, per al seguiment i la reconciliació de transaccions, les entitats poden emmagatzemar dades limitades (darrers quatre dígits del número real de la targeta i el nom de l'emissor de la targeta) d'acord amb els estàndards aplicables. Les xarxes de targetes autoritzades emmagatzemen les dades reals de la targeta, el testimoni i altres detalls rellevants en un mode segur. El sol·licitant del testimoni no pot emmagatzemar el número de la targeta ni cap altre detall de la targeta. Les xarxes de targetes també tenen l'obligació d'obtenir la certificació de seguretat del sol·licitant del testimoni d'acord amb les millors pràctiques internacionals/estàndards acceptats globalment.

Un client pot triar si deixar o no la seva targeta tokenitzada. A més, l'emissor de la targeta també hauria de donar al titular de la targeta la possibilitat de veure la llista de comerciants per als quals ha optat per les transaccions de CoF i de donar de baixa qualsevol d'aquests testimonis.

Per què el RBI aposta per la tokenització?

Citant la comoditat i la comoditat per als usuaris mentre realitzen transaccions amb targeta en línia, moltes entitats implicades en les transaccions amb targeta emmagatzemen les dades reals de la targeta, que és CoF. De fet, alguns comerciants obliguen els seus clients a emmagatzemar els detalls de la targeta. La disponibilitat d'aquests detalls amb un gran nombre de comerciants augmenta substancialment el risc que les dades de la targeta siguin robades, va dir l'RBI.

En el passat recent, hi ha hagut incidents en què les dades de les targetes emmagatzemades per alguns comerciants s'han compromès o s'han filtrat. Qualsevol fuga de dades de CoF pot tenir greus repercussions perquè moltes jurisdiccions no requereixen un AFA per a les transaccions amb targeta. Les dades de les targetes robades també es poden utilitzar per perpetrar fraus a l'Índia mitjançant tècniques d'enginyeria social, va dir l'RBI.

Butlletí informatiu| Feu clic per rebre els millors explicadors del dia a la vostra safata d'entrada

Comparteix Amb Els Teus Amics: