Платёжный токен (Tokenization)

Что такое платёжный токен

Платёжный токен — цифровой заменитель настоящего номера карты (PAN, Primary Account Number), который используется вместо реальных данных при оплате. Токен генерирует платёжная система при добавлении карты в цифровой кошелёк — Apple Pay, Google Pay, «Мир Pay» — и привязывает его к конкретному устройству. Продавцу и его эквайеру реальный номер карты в этот момент не виден вовсе.

Как работает токенизация

Когда пользователь добавляет карту в кошелёк, банк-эмитент подтверждает операцию, а платёжная система (Visa Token Service, Mastercard MDES, аналогичный сервис «Мира») выпускает уникальный токен, действительный только для этого устройства и этого кошелька. При каждой покупке передаётся не сам токен в чистом виде, а ещё и динамическая криптограмма — одноразовый код операции, из-за которого перехваченные данные платежа нельзя использовать повторно.

Токен и номер карты — разные вещи

У одной физической карты может быть несколько токенов — по одному на каждый телефон, часы или сервис, куда её добавили. Если утечёт токен из базы данных продавца или произойдёт взлом кассового приложения, злоумышленник не сможет списать деньги с настоящей карты: токен без привязанного устройства и криптограммы бесполезен, а эмитент при необходимости отзывает конкретный токен, не трогая саму карту и её реальный номер.

Где применяется токенизация платежей

Кроме бесконтактной оплаты телефоном или часами, токенизация лежит в основе оплаты картой, сохранённой в приложении или браузере, — интернет-магазины всё чаще используют токены вместо хранения PAN. С QR-платежами СБП механизм не пересекается напрямую: там деньги идут со счёта через систему быстрых платежей, а не через карточный токен, — но у обоих подходов общая цель: не передавать продавцу чувствительные банковские реквизиты.

Частые вопросы

Чем платёжный токен отличается от номера карты?

Номер карты (PAN) — постоянный реквизит, который можно использовать для оплаты где угодно, если он известен. Токен — временный заменитель, привязанный к конкретному устройству и кошельку: он бесполезен без этой привязки и динамической криптограммы, которая формируется заново при каждой операции.

Можно ли использовать чужой токен, если он стал известен?

Практически нет. Токен без устройства, на котором он зарегистрирован, и без одноразовой криптограммы конкретной транзакции не проведёт платёж. В отличие от кражи номера карты, утечка токена из базы продавца сама по себе не позволяет списать деньги.

Кто выпускает платёжный токен при добавлении карты в Apple Pay?

Токен формирует платёжная система — Visa, Mastercard или «Мир» — через сервис токенизации (например, Visa Token Service), после того как банк-эмитент подтвердит владельца карты. Apple, Google или другой провайдер кошелька хранит токен на устройстве, но не выпускает его самостоятельно.

Защищает ли токенизация оплату по QR-коду?

Не напрямую — платежи по QR-коду СБП списываются со счёта через систему быстрых платежей, а не по номеру карты, поэтому там нет карточного токена в привычном смысле. Токенизация относится к платежам картой, включая бесконтактную оплату телефоном и покупки на сайтах, где карта сохранена в кошельке.

Сколько токенов может быть у одной карты?

Несколько — по одному на каждое устройство или сервис, куда карту добавили: отдельный токен для телефона, отдельный для смарт-часов, отдельный для сохранённой карты в браузере интернет-магазина. Все они независимы: отзыв одного токена не затрагивает остальные и саму карту.