Банковская карта и ее номер

Данная страница собрала в себе сведенья в коротком виде о карте и ее пользованию.

Участники процесса

Device / Кардхолдер — держатель карты, имеющий право выполнять по ней набор операций.

Merchant / Terminal / POS (Point Of Service) / — устройство у продавца, обеспечивающее техническую возможность обслуживания карт и других платежных средств.

Acquirer (Эквайрер) — банк или финансовая организация, обеспечивающая обслуживание карты: помогает продавцам и платежным системам взаимодействовать (проводит расчет по операциям с картой).

Mastercard / Процессинговый центр (ПЦ) — программно-аппаратный комплекс платежной системы (например Mastercard), обеспечивающий технологическую возможность информационного обмена между участниками расчетов.

Financial Institution / Эмитент — банк или иная финансовая организация выпустившая (эмитировавшая) карту.

Что происходит при работе с картой

1. Аутентификация карты - проверка подлинности карты (подтверждение, что она не фальшивая и выпущена реальным банком-эмитентом).
2. Верификация держателя - процесс подтверждения того, что карту предъявил ее держатель, а не третье лицо.
3. Авторизация операций - запрос у банка-эмитента разрешения на списание денег с карты для оплаты покупки или услуги.

Пример процесса оплаты

1. Кардхолдер оплачивает покупку с помощью терминала Merchant-а (продавца)
2. Через терминал данные об операции передаются Эквайеру для авторизации.
3. Эквайер направляет информацию (через платежную систему, например Mastercard) в Эмитент для проверки баланса и статуса карты — достаточно ли денег на счете и нет ли ограничений на проведение покупок.
4. Эмитент одобряет операцию и направляет информацию об этом Эквайеру.
5. Эквайер проводит операцию оплаты, и Merchant (продавец) выдает товар Кардхолдеру.
6. Эмитент переводит Эквайеру сумму операции (за вычетом межбанковской комиссии)
7. Эквайер переводит деньги Merchant-у (продавцу) (иногда с задержкой).
8. И наконец, Эмитент спишет стоимость товара со счета Марии — держателя карты.

Виды карт

Виды карт различают по виду защиты, рассмотрим их:

Магнитная полоса - при оплате покупок картой с магнитной полосой платежный терминал продавца отправляет эмитенту статические (т. е. постоянные) данные карты по сети Интернет. Эмитент на основании данных карты определяет ее подлинность. Результат — низкая безопасность. Данные карты можно полностью скопировать и изготовить поддельную карту. В этом случае банк-эмитент не сможет определить подлинность карты.

Магнитный чип - чип, в отличие от магнитной полосы, содержит динамические данные: каждая транзакция подтверждается специально сформированным для нее кодом. При этом так хорошо знакомые нам золотистые или серебристые пластины на карте — это не сам чип, а контактные платы. Чип находится под ними. Он гораздо меньше, хотя и состоит из нескольких сложных элементов-микропроцессоров, по сути выполняющих функции целого компьютера.

Из-за низкой безопасности с 2015 года ЦБ РФ запретил в России выпуск карт только с магнитной полосой. Новые карты обязаны иметь микропроцессор и одновременно быть оснащены чипом и магнитной полосой либо только чипом.

Обратная сторона карты

Что внутри карты

Банковская карта содержит:

1. данные платежной системы
2. данные эмитента
3. данные держателя карты.

Номер карты

PAN (Primary Account Number)  — номер который наносят на карту в процессе изготовления, его записывают и на магнитную полосу или в память чипа карты. Он может состоять из 13, 15, 16, 18 или 19 цифр. Наиболее распространенный вариант — 16.

PAR (Payment Account Reference)

Немного истории - есть компания EMVCo, которая на самом деле очень влиятельна, посмотрим почему:

Так вот, в 2016 году компания EMVCo решила добавить еще один элемент данных (который по ее мнению снижает зависимость от основных номеров счетов) – ссылку на платежный счет PAR (Payment Account Reference). PAR позволяет торговцам и эквайерам поддерживать программы борьбы с мошенничеством, лояльности и отчетности, зависящие от PAN сегодня. Но PAR был введен исключительно для поддержки процесса токенизации платежей (о токенизации ниже). 

PAR — это значение, привязанное к основному номеру счета (PAN) счета держателя карты (например под брендом Mastercard). PAR связывает токенизированные и основанные на PAN транзакции без необходимости использования PAN.

Важно понимать, что связь образуется 1:1 — PAR к PAN.

Про токены позднее, картника лишь демонстрирует ассоциации 1:1 (PAR к PAN) и 1:Многим (PAR к Токенам).

PAR состоит из 29 символов. Первые четыре позиции PAR содержат идентификатор контроллера BIN (например BIN контроллера Mastercard). Идентификатор контроллера BIN Mastercard — «5001». Остальные 25 позиций отражают уникальное, случайно назначенное значение). Mastercard, выступая в качестве контроллера BIN, назначает PAR следующим линейкам продуктов Mastercard:

• 222100–272099
• 510000–559999
• 639000–639099 (ассортимент продукции Maestro)
• 670000–679999 (ассортимент продукции Maestro)

Вернемся к схеме получения PAR:

Как видно на схеме, сначала PAN данные попадают в Terminal Merchant-а (продавца), дальше в Acquirer и в Процессинговый центр (например Mastercard) который создает PAR и передает его дальше, таким образом его получает Terminal Merchant-а (продавца). Отлично, теперь Продавец может не хранить PAN, CVV и другие ПД (персональные данные), а досаточно хранить только PAR.

В чем смысл спросите Вы, ведь теперь стало менее безопасно (достаточно украсть один токен и можно оплачивать что угодно), возможно, но это отдельная тема. Вся эта петрушка с PAR затевалась не для улучшения безопасности, а для того, чтобы можно было использовать технологию токенизации платежей (без PAR тут похоже никак).

Токенизация платежей

Токенизация — это технология обмена данными заменяющая обмен персональных данных банковской карты на специальный обезличенный эквивалент (токен). Далее оплата каждой покупки происходит с использованием отдельного токена, что обеспечивает безопасность данных карты при совершении онлайн-платежей. Токен может быть сопоставлен с исходным PAN только доверенными сторонами.

Какие минусы

1. Хотя PAR повышает безопасность, это также создает проблемы. Потребители могут платить с помощью платежной карты или с помощью токенов созданных на основе PAR (используемых в различных «Smartphone Pay», card-on-file ecommerce и других платформах, которые могут быть связаны с картой). Это приводит к тому, что один PAN связывается с несколькими токенами через различные платежные инструменты и каналы.

2. Поскольку только поставщик услуг токенов (TSP) может видеть связь между исходным PAN и всеми связанными с ним токенами, это может затруднить для других субъектов ниже по цепочке получение агрегированного представления о транзакциях, выполненных исходными учетными данными.

В результате их способность предоставлять услуги с добавленной стоимостью, такие как лояльность и купоны, а в некоторых случаях управлять нормативными требованиями или предоставлять оценку риска транзакций, страдает. Это связано с тем, что эти функции часто полагаются на способность идентифицировать транзакции на совокупном уровне PAN для обеспечения мониторинга и анализа поведения потребителей.

Какие плюсы - разберем на примере

Несколько лет назад, я остановился в отеле известного бренда, поскольку там у меня были баллы лояльности и статус. На самом деле моя карта была кобрендом сети. Я хранил ее в своем аккаунте отеля (на сайте отеля), и это была единственная карта, которую я использовал, когда останавливался в этих местах. Эта карта также была загружена в мой универсальный кошелек на телефоне. Из-за того, что я весь день был в пути и не хотел доставать свой бумажник с реальной картой, я воспользовался телефоном, чтобы подтвердить, что я это я. По какой-то причине, сотруднику пришлось сравнить квитанцию с моей физической карточкой, но номера не совпали! Я показал им обложку карточки в моем электронном кошельке, но был так же сбит с толку, как и сотрудник. В итоге я воспользовался реальной карточкой, чтобы избежать путаницы, а затем пошел в свою комнату. Как я уже сказал, для платежных системщиков это может быть очевидно, но моя карта из моего цифрового кошелька на самом деле не использовала тот же PAN - в ней использовался DPAn (“цифровой” номер основного счета или “номер устройства”), который является номиналом моей карты. При сравнении с физической картой она не будет совпадать. Вот как раз эту проблему и решает PAR, теперь где бы не была Ваша карта, она одна:

PAN B² здесь указан как пример (читать словно и т.д.), что любая другая карта работает по такому же принципу.

Обмен токенами

Переход на токены это отдельная тем, но суть в том, что вместо PAN-данных передаются токены (но не PAR, а токены сгенерированные на основе PAR). Использование токенов при обмене информацией улучшает безопасность потому, что токен не содержит персональной информации и может быть использован только разово. По нему нельзя восстановить номер платежной карты и, даже если мошенникам удастся перехватить токен, совершить с его помощью платеж они не смогут (ведь токен к тому времени будет уже использован).

В настоящее время токенизация банковских карт применяется:

1. При оплате с мобильного устройства с использованием приложений Apple Pay, Google Pay, Samsung Pay, Mir Pay и др. В этом случае выпуск токена инициирует держатель карты, добавляя ее данные в соответствующее приложение для оплаты. В дальнейшем наличие пластика для проведения оплаты не требуется и управлять токеном (удалять или создавать новый) можно отдельно от банковской карты.

2. При выпуске банками цифровых карт в своих мобильных приложениях. При этом в большинстве случаев предоплаченные виртуальные карты токенизированы быть не могут, но некоторые банки позволяют это делать после прохождения клиентом дальнейшей идентификации;

3. При оплате платежа банковской картой в интернет-магазине или онлайн-сервисе подписки на музыку, фильмы и др. В этом случае выпуск уникального токена на основе данных банковской карты покупателя инициирует торговая точка через платежного эквайера или платежный сервис для удобства хранения полученной информации на серверах платежных систем и обеспечения возможности для последующей оплаты без ввода номера карты держателем. Производить оплату с помощью созданного токена в дальнейшем доступно только в этом магазине или сервисе.

Как работает токинизация

Рассмотрим 2 примера, потому что это 2 последовательные покупки:

• 1-ый пример демонстрирует ситуацию, когда Terminal Merchant-а (продавца) еще не обладает токеном на проведение операций по доверенной ему карте
• 2-ой пример демонстрирует ситуацию, когда Terminal Merchant-а (продавца) уже обладает токеном на проведение операций по доверенной ему карте

Пример 1:

Пример 2:

Просто еще одна схема:

На этом все, главное помнить, что данный материал является домыслами автора и не является истиной в конечной инстанции.

Для тех, кто хочет углубиться: 1 - 2

Источники: 1 - 2 - 3 - 4 - 5