Explicado: como tokens em vez de detalhes de cartão de crédito podem tornar as transações mais seguras

O Reserve Bank of India está permitindo a tokenização de cartões durante a realização de pagamentos. O que isso significa e como funciona?

De acordo com o RBI, para rastreamento e reconciliação de transações, as entidades podem armazenar dados limitados em conformidade com os padrões aplicáveis.

Muitos comerciantes e entidades de comércio eletrônico forçam os clientes a armazenar detalhes de cartão de débito ou crédito, o que aumenta o risco de roubo de dados do cartão. Isso pode ser evitado agora com o Reserve Bank of India, permitindo a tokenização de cartões ao fazer pagamentos.

O que é tokenização?

Refere-se à substituição dos detalhes do cartão por um código alternativo denominado 'token', que é exclusivo para uma combinação de cartão, solicitante de token (a entidade que aceita uma solicitação do cliente para a tokenização de um cartão e o passa para o cartão rede para emitir um token) e o dispositivo, diz o RBI. Ele reduz as chances de fraude decorrentes do compartilhamento de detalhes do cartão. O token é usado para realizar transações de cartão sem contato em terminais de ponto de venda (PoS) e pagamentos com código QR.

patrimônio líquido david ortiz 2019

O RBI também estendeu a tokenização de transações Card-on-File (CoF) - onde os detalhes do cartão costumavam ser armazenados pelos comerciantes - e orientou os comerciantes a não armazenar detalhes do cartão em seus sistemas a partir de 1º de janeiro de 2022. Uma transação CoF é uma em que o titular do cartão autorizou um comerciante a armazenar seus detalhes de pagamento Mastercard ou Visa e a faturar a conta armazenada. Empresas de comércio eletrônico, companhias aéreas e redes de supermercados costumam armazenar detalhes de cartões.

A partir de 1º de janeiro de 2022, nenhuma entidade na transação com cartão ou na cadeia de pagamento, exceto os emissores e redes de cartões, deve armazenar os dados reais do cartão. Quaisquer dados armazenados anteriormente serão eliminados, disse o RBI em uma circular. O RBI havia barrado o armazenamento de dados anteriormente em março de 2020, mas estendeu o prazo para 31 de dezembro de 2021.

Como funciona a tokenização?

O titular do cartão pode obter o cartão tokenizado iniciando uma solicitação no aplicativo fornecido pelo solicitante do token. O solicitante do token encaminhará a solicitação à rede do cartão que, com o consentimento do emissor do cartão, emitirá um token correspondente à combinação do cartão, do solicitante do token e do dispositivo. A tokenização foi permitida por meio de telefones celulares ou tablets para todos os casos de uso e canais, como transações de cartão sem contato, pagamentos por códigos QR e aplicativos, de acordo com o RBI

Os tokens são gerados por empresas como Visa e MasterCard, que agem como Provedores de Serviço de Token (TSPs), e fornecem os tokens para pagamentos móveis ou plataformas de comércio eletrônico para que possam ser usados ​​durante as transações em vez dos detalhes do cartão de crédito do cliente.

Quando os usuários inserem os detalhes do cartão em uma carteira virtual como Google Pay ou PhonePe, essas plataformas pedem um token a um desses TSPs. Os TSPs irão primeiro solicitar a verificação dos dados do banco do cliente. Quando os dados são verificados, um código é gerado e enviado ao dispositivo do usuário. Depois que o token exclusivo é gerado, ele permanece irreversivelmente vinculado ao dispositivo do cliente e não pode ser substituído. Assim, cada vez que um cliente usa seu dispositivo para fazer um pagamento, a plataforma poderá autorizar a transação simplesmente compartilhando o token, sem ter que revelar os verdadeiros dados do cliente. Os tokens podem ser gerados para proteger os pagamentos em carteiras móveis e lojas físicas ou online como a Amazon. A lista de redes de cartões autorizadas pelo RBI a operar na Índia está disponível no seguinte link.

Quem pode tokenizar cartões?

O RBI permitiu que os emissores de cartão atuem como TSPs, que oferecerão serviços de tokenização apenas para cartões emitidos por eles ou afiliados a eles. A capacidade de tokenizar e des-tokenizar os dados do cartão será com o mesmo TSP. A tokenização dos dados do cartão será feita com o consentimento explícito do cliente, exigindo a validação do Fator Adicional de Autenticação (AFA) pelo emissor do cartão, disse o RBI.

Normalmente, em uma transação com cartão tokenizado, as partes interessadas envolvidas são o comerciante, o adquirente do comerciante, a rede de pagamento com cartão, o solicitante do token, o emissor e o cliente. O registro para uma solicitação de tokenização é feito apenas com o consentimento explícito do cliente por meio da AFA, e não por meio de uma seleção forçada, padrão ou automática de caixa de seleção, botão de opção, etc. Os clientes também terão a opção de selecionar o caso de uso e estabelecer limites. Os clientes têm a opção de definir e modificar os limites de transações diárias e por transação para transações com cartão tokenizado.

O que acontece após a tokenização?

De acordo com o RBI, para rastreamento e reconciliação de transações, as entidades podem armazenar dados limitados - os últimos quatro dígitos do número real do cartão e do nome do emissor do cartão - em conformidade com os padrões aplicáveis. Os dados reais do cartão, token e outros detalhes relevantes são armazenados em um modo seguro por redes de cartões autorizadas. O solicitante do token não pode armazenar o número do cartão ou qualquer outro detalhe do cartão. As redes de cartão também são obrigadas a obter a certificação do solicitante do token para segurança em conformidade com as melhores práticas internacionais / padrões aceitos globalmente.

Um cliente pode escolher se deseja ou não que seu cartão seja tokenizado. Além disso, o emissor do cartão também deve fornecer ao titular do cartão a facilidade de visualizar a lista de estabelecimentos para os quais ele optou por transações CoF e de cancelar o registro de qualquer token.

Por que o RBI está indo para a tokenização?

Citando conveniência e conforto para os usuários ao realizar transações com cartão online, muitas entidades envolvidas nas transações com cartão armazenam detalhes reais do cartão, que é o CoF. Na verdade, alguns comerciantes forçam seus clientes a armazenar os detalhes do cartão. A disponibilidade de tais detalhes com um grande número de comerciantes aumenta substancialmente o risco de dados do cartão serem roubados, disse o RBI.

etnia ouropel korey

No passado recente, houve incidentes em que os dados do cartão armazenados por alguns comerciantes foram comprometidos ou vazados. Qualquer vazamento de dados do CoF pode ter sérias repercussões porque muitas jurisdições não exigem um AFA para transações com cartão. Dados de cartões roubados também podem ser usados ​​para perpetrar fraudes na Índia por meio de técnicas de engenharia social, disse o RBI.

Boletim de Notícias| Clique para obter os melhores explicadores do dia em sua caixa de entrada

Compartilhe Com Os Seus Amigos: