Платёжный токен (Tokenization)
Платёжный токен — цифровой заменитель номера карты (PAN), который передаётся вместо реальных данных при оплате. Он привязан к устройству — утечка токена не позволит списать деньги.
Что такое платёжный токен
Платёжный токен — цифровой заменитель настоящего номера карты (PAN, Primary Account Number), который используется вместо реальных данных при оплате. Токен генерирует платёжная система при добавлении карты в цифровой кошелёк — Apple Pay, Google Pay, «Мир Pay» — и привязывает его к конкретному устройству. Продавцу и его эквайеру реальный номер карты в этот момент не виден вовсе.
Как работает токенизация
Когда пользователь добавляет карту в кошелёк, банк-эмитент подтверждает операцию, а платёжная система (Visa Token Service, Mastercard MDES, аналогичный сервис «Мира») выпускает уникальный токен, действительный только для этого устройства и этого кошелька. При каждой покупке передаётся не сам токен в чистом виде, а ещё и динамическая криптограмма — одноразовый код операции, из-за которого перехваченные данные платежа нельзя использовать повторно.
Токен и номер карты — разные вещи
У одной физической карты может быть несколько токенов — по одному на каждый телефон, часы или сервис, куда её добавили. Если утечёт токен из базы данных продавца или произойдёт взлом кассового приложения, злоумышленник не сможет списать деньги с настоящей карты: токен без привязанного устройства и криптограммы бесполезен, а эмитент при необходимости отзывает конкретный токен, не трогая саму карту и её реальный номер.
Где применяется токенизация платежей
Кроме бесконтактной оплаты телефоном или часами, токенизация лежит в основе оплаты картой, сохранённой в приложении или браузере, — интернет-магазины всё чаще используют токены вместо хранения PAN. С QR-платежами СБП механизм не пересекается напрямую: там деньги идут со счёта через систему быстрых платежей, а не через карточный токен, — но у обоих подходов общая цель: не передавать продавцу чувствительные банковские реквизиты.