Токенизация платежей: технология защиты данных¶

Токенизация платежей — это технология защиты платёжных данных, при которой конфиденциальные реквизиты банковской карты (номер, срок действия, CVV-код) заменяются уникальным идентификатором — токеном. Токен не содержит реальных данных держателя карты и используется для проведения транзакций без передачи оригинальных реквизитов по каналам связи или их хранения на стороне продавца.

¶Принцип работы

При токенизации платёжная система или банк-эмитент генерирует случайный набор символов (токен), который привязан к конкретному счёту или карте. Токен может быть одноразовым или многоразовым, с ограниченным сроком действия и областью применения (например, только для одного магазина или одного типа операций). При совершении платежа токен передаётся в платёжный шлюз, который через защищённый канал связывается с банком и расшифровывает его, сопоставляя с реальными реквизитами карты.

Ключевое отличие токенизации от шифрования — в том, что зашифрованные данные теоретически можно расшифровать при наличии ключа, тогда как токен необратим: математически восстановить по нему номер карты невозможно. Для этого существует только реестр соответствий, хранящийся у эмитента или платёжной системы.

¶Виды токенизации

• Токенизация на стороне платёжной системы — используется международными платёжными системами Visa (Visa Token Service) и Mastercard (MDES). Токен выдаётся по запросу банка или торгово-сервисного предприятия и действует в рамках всей платёжной инфраструктуры.
• Токенизация на стороне банка — банк-эмитент самостоятельно генерирует токены для своих клиентов, например, для использования в мобильном приложении банка.
• Токенизация на стороне продавца — торговое предприятие или платёжный агрегатор создаёт собственную систему токенов для хранения реквизитов постоянных клиентов (так называемые «цифровые кошельки»).

¶Применение

Технология широко используется в мобильных платёжных сервисах (Apple Pay, Google Pay, Samsung Pay), где токен хранится в защищённом элементе устройства и передаётся на терминал вместо данных карты. Также токенизация применяется при оплате через интернет, в системах автоматических платежей (подписки, автоплатежи), в QR-платежах и при оплате по биометрии.

В России технология внедрена в платёжную систему «Мир» (сервис «Мир Pay»), а также используется банками при выпуске виртуальных карт и в сервисах быстрых платежей. Нормативной базой служат требования платёжных систем и стандарт PCI DSS, который допускает использование токенизации как меру снижения риска компрометации данных.

¶Преимущества

Главное преимущество — снижение риска мошенничества: даже при утечке базы данных магазина злоумышленник получает лишь токены, бесполезные для использования вне конкретной платёжной системы. Кроме того, токенизация сокращает область соответствия стандарту PCI DSS для продавцов: если компания не хранит реальные реквизиты, требования к защите её инфраструктуры упрощаются.

Дополнительный плюс — удобство для клиентов: токен позволяет проводить повторные платежи без повторного ввода данных карты, при этом сохраняется возможность отозвать разрешение на списание через банк.

¶Ограничения и критика

Токенизация не защищает от всех видов мошенничества: если злоумышленник получает доступ к устройству пользователя, на котором активирован токен, он может совершать платежи в рамках лимитов сервиса. Также технология не решает проблему социальной инженерии и фишинга, когда клиент сам сообщает мошенникам данные для подтверждения операции.

Критики отмечают, что токенизация создаёт зависимость от платёжных систем и банков: при смене эквайера или банка-эмитента токены приходится перевыпускать. Кроме того, международные платёжные системы взимают комиссию за услуги токенизации, что может увеличивать издержки банков.

¶Перспективы развития

Технология развивается в направлении динамической токенизации, при которой токен генерируется для каждой транзакции отдельно, и в направлении использования токенов в системах цифровых валют центральных банков (CBDC). Ожидается, что токенизация станет основой для расчётов между устройствами в интернете вещей (IoT) и в системах автоматизированных платежей без участия человека.