Visa Token Service

Visa Token Service — это технологическая платформа, разработанная компанией Visa (международная платёжная система, осуществляющая деятельность на территории РФ в соответствии с законодательством), предназначенная для замены реальных номеров банковских карт (PAN — Primary Account Number) на уникальные цифровые идентификаторы — токены. Сервис обеспечивает безопасное проведение транзакций в электронной коммерции, мобильных приложениях, устройствах интернета вещей (IoT) и при бесконтактных платежах, минимизируя риски компрометации конфиденциальных данных держателей карт.

История

Разработка Visa Token Service (VTS) была начата в 2013 году в ответ на рост числа утечек данных и мошеннических операций с платёжными картами. Ключевым стимулом стало массовое внедрение мобильных платежей (Apple Pay, Samsung Pay, Google Pay) и увеличение объёмов онлайн-торговли, где использование реального PAN создавало высокие риски. В 2014 году Visa анонсировала запуск сервиса, а в 2015 году — его коммерческую эксплуатацию. Первыми партнёрами стали крупные банки и технологические компании, включая Apple и Google. К 2020 году VTS обрабатывал более 1 миллиарда токенизированных транзакций в год, а к 2024 году — более 10 миллиардов. В России внедрение VTS началось в 2016 году, однако после 2022 года, в связи с изменениями в регулировании и ограничениями, использование сервиса Visa Token Service на территории РФ было существенно сокращено.

Принцип работы

Токенизация

Основной механизм VTS — замена PAN на токен — 16-значный числовой код, генерируемый платформой. Токен не имеет самостоятельной ценности вне экосистемы Visa и не может быть использован для проведения транзакций без дополнительной аутентификации. Процесс включает следующие этапы:

1. Запрос на токенизацию: держатель карты или торгово-сервисное предприятие (ТСП) инициирует запрос через платёжный шлюз или мобильное приложение.
2. Верификация: Visa Token Service проверяет подлинность запроса, используя данные карты, устройства и информацию о держателе. Верификация может включать однофакторную или многофакторную аутентификацию (например, 3D Secure).
3. Генерация токена: при успешной верификации VTS создаёт токен, привязанный к конкретному устройству (например, смартфону) или сервису (например, интернет-магазину).
4. Хранение и использование: токен передаётся ТСП или мобильному приложению, где хранится вместо PAN. При совершении платежа токен отправляется в платёжную систему, которая де-токенизирует его обратно в PAN для обработки транзакции.

Де-токенизация

Обратный процесс — преобразование токена в PAN — происходит только на стороне Visa Token Service в защищённой среде. ТСП, мобильные приложения и платёжные шлюзы не имеют доступа к реальному номеру карты. Де-токенизация выполняется в реальном времени при каждой транзакции, что позволяет блокировать или заменять токены без изменения данных на стороне продавца.

Классификация токенов

Visa Token Service поддерживает несколько типов токенов, различающихся по области применения и уровню безопасности:

• Токены для мобильных устройств (Device Tokens): привязываются к конкретному смартфону, планшету или часам. Используются в бесконтактных платежах (NFC) и мобильных кошельках. При утере устройства токен может быть отозван без блокировки основной карты.
• Токены для электронной коммерции (E-commerce Tokens): привязываются к конкретному интернет-магазину или сервису. Позволяют совершать повторные платежи без повторного ввода данных карты, снижая риск утечки PAN при взломе базы данных продавца.
• Токены для рекуррентных платежей (Recurring Payment Tokens): используются для подписок, абонементов и других регулярных списаний. Обеспечивают непрерывность платежей при замене карты (например, при перевыпуске) — токен автоматически перепривязывается к новому PAN.
• Токены для интернета вещей (IoT Tokens): предназначены для устройств, не имеющих экрана или клавиатуры (умные колонки, автомобили, бытовая техника). Генерируются с упрощённой аутентификацией, но с ограниченным лимитом транзакций.

Применение

Visa Token Service используется в следующих сценариях:

• Мобильные кошельки: Apple Pay, Google Pay, Samsung Pay, а также решения российских банков (до 2022 года — Сбербанк, Тинькофф, Альфа-Банк). Токенизация позволяет хранить данные карт в защищённом элементе устройства.
• Интернет-магазины: платформы электронной коммерции (Amazon, eBay, Wildberries, Ozon) используют VTS для безопасного хранения платёжных данных. После токенизации продавец не видит PAN, что снижает ответственность за утечки.
• Платежи в приложениях: мобильные приложения (такси, доставка еды, стриминг) интегрируют VTS для упрощения оплаты. Токен привязывается к учётной записи пользователя.
• Бесконтактные платежи в транспорте: системы оплаты проезда (например, в метро Москвы, Нью-Йорка, Лондона) используют токены для ускорения транзакций и снижения комиссий.
• Устройства IoT: умные колонки (Amazon Echo, Google Home) и автомобили (Tesla, BMW) позволяют совершать платежи через голосовые команды или встроенные экраны, используя токены с ограниченными лимитами.

Преимущества и недостатки

Преимущества

• Безопасность: токен не содержит конфиденциальных данных и не может быть использован вне контекста. При утечке базы данных ТСП злоумышленники получают только токен, который не даёт доступа к PAN.
• Гибкость: токены можно отзывать, заменять или обновлять без изменения данных на стороне продавца. Это упрощает управление картами при перевыпуске, утере или смене банка.
• Снижение мошенничества: VTS уменьшает количество случаев мошенничества с использованием украденных номеров карт (CNP-мошенничество). По данным Visa, токенизация снижает число спорных транзакций (chargebacks) на 20–30 %.
• Удобство для пользователей: возможность совершать платежи без ввода данных карты, включая рекуррентные платежи, повышает конверсию в интернет-магазинах.

Недостатки

• Зависимость от инфраструктуры: для работы VTS требуется поддержка со стороны банков-эмитентов, платёжных шлюзов и ТСП. Не все участники экосистемы готовы к внедрению.
• Сложность интеграции: внедрение VTS требует доработки IT-систем банков и ТСП, что может быть затратно для малого бизнеса.
• Ограничения по географии: в ряде стран (включая Россию после 2022 года) использование VTS может быть ограничено из-за санкций или регуляторных требований.
• Риски при де-токенизации: хотя процесс защищён, теоретически возможна атака на инфраструктуру Visa, что приведёт к компрометации PAN.

Критика

Критика Visa Token Service в основном связана с централизацией управления токенами: вся инфраструктура контролируется Visa, что создаёт монопольную зависимость для участников платёжной системы. Некоторые эксперты указывают на потенциальные риски для конфиденциальности, так как Visa получает доступ к данным о транзакциях, которые ранее были скрыты от платёжной системы (например, при использовании токенов в мобильных кошельках). В России после 2022 года использование VTS было ограничено в связи с приостановкой деятельности Visa на территории РФ, что привело к переходу на альтернативные решения, такие как токенизация через Национальную систему платёжных карт (НСПК) и систему «Мир».

Интересные факты

• Первая токенизированная транзакция через Visa Token Service была совершена в 2014 году в США с использованием Apple Pay.
• К 2024 году Visa Token Service обрабатывал более 30 % всех транзакций Visa в электронной коммерции.
• Токены VTS могут быть использованы для проведения транзакций в офлайн-режиме (например, в метро), что ускоряет оплату.
• В 2020 году Visa запустила программу Visa Token Service for Merchants, позволяющую малым и средним предприятиям внедрять токенизацию без значительных инвестиций.

Источники

• Visa Inc. «Visa Token Service: Technical Overview». 2023.
• Visa Inc. «Tokenization: A Guide for Merchants and Acquirers». 2022.
• Федеральный закон РФ «О национальной платёжной системе» (№ 161-ФЗ).
• Отчёты Visa о безопасности платежей (2015–2024).
• Статья «Tokenization in Payment Systems: A Review» в журнале «Journal of Payments Strategy & Systems», 2021.