Apple Pay eta Google Pay marketinik gabe: zer da sare-token bat eta zergatik murrizten duen iruzurra

Bezero batek online denda batean Apple Pay edo Google Pay botoia sakatzen duenean, ez ditu bere banku-txartelaren hamasei zenbakiak bidaltzen, ezta iraungitze-data ere. Ez da ordainketa-formularioa automatikoki betetzen duen lasterbide arrunt bat. Nabigatzailearen edo mugikorreko aplikazioaren, fabrikatzailearen zerbitzarien eta txartel-sareen artean martxan jartzen dena jatorrizko datu bankarioak babesteko diseinatutako arkitektura kriptografiko oso bat da.

Zorro digital horien barne-mekanismoa ezagutzeak baimen-tasari, prozesatze-kostuei eta baimendu gabeko transakzioen aurreko babesari buruzko irizpide tekniko sendoa izatea ahalbidetzen du.

FPANetik DPANera: hornidura-fasea

Ordainketa bakoitzean zer bidaltzen den ulertzeko, bi kontzeptu bereizi behar dira:

• FPAN (Funding Primary Account Number): Txartel fisikoan inprimatutako edo bankuko aplikazioan sortutako zenbakia da. Titularrak behin bakarrik sartzen du bere gailua konfiguratzean.
• DPAN (Device Primary Account Number) edo Sare-tokena: Txartel-sareak berak (Visa, Mastercard edo American Express) sortzen duen ordezko identifikatzailea da, Applek edo Googlek eskatuta. Token honek FPANa ordezkatzen du eta hardware zehatz horri edo erabiltzailearen kontuari lotuta geratzen da.

Txartela gehitzean, jaulkitzaileak bezeroaren nortasuna balioztatzen du —SMS kode baten bidez edo bere bankuko aplikazioan baieztatuz— eta baimena ematen dio txartel-markari sare-tokena jaulkitzeko. Une horretatik aurrera, jatorrizko FPANa sarearen zerbitzari seguruetan gordeta geratzen da eta ez da berriro erabiltzen eguneroko ordainketetan.

Ordainketa-plataformek sortzen dituzten barne-identifikatzaileekin alderatuta —txartelen tokenizazioari buruzko analisian sakondu genuen bezala—, sare-tokenek balio unibertsala dute ordainketa-ekosistema osoan eta ez daude ordainketa-pasabidea bakar baten mende.

Kriptograma dinamikoak: zergatik atzemandako token batek ez duen balio

Identifikatzaile estatiko batek ez luke berez iruzurraren arazoa konponduko ingurune birtualetan; erasotzaile batek DPANa eskuratuko balu, birsortzen saia liteke. Benetako segurtasun-hesia erabilera bakarreko kriptograman datza.

Apple Pay edo Google Pay bidez egiten den erosketa bakoitzean, gailuko txip seguruak (Secure Element Apple-n edo baliokideak Android-en) kriptograma dinamiko bat sortzen du. Balio hori kalkulatzeko gailuan gordetako gako pribatua, ordainketaren zenbatekoa, moneta eta errepika ezin den barne-kontagailu bat konbinatzen dira.

Ordainketa-pasabideak datu zifratu horiek jasotzen dituenean, prozesatzailera bidaltzen ditu eta honek txartel-sarera. Sareak egiaztatzen du kriptograma DPAN horri, zenbateko horri eta une zehatz horri dagokiola. Norbaitek sareko trafikoa atzemango balu eta informazio hori beste denda batean berrerabiltzen saiatuko balitz, eragiketa berehala baztertuko litzateke, kriptograma dagoeneko iraungita egongo litzatekeelako.

Autentifikazio biometrikoa eta erantzukizun-aldaketa

Europar Batasunean, araudiak eroslearen nortasuna egiaztatzea agintzen du sareko iruzurra gutxitzeko. Apple Payk eta Google Payk egiaztapen hori modu naturalean txertatzen dute biometria lokalaren bidez (hatz-marka edo aurpegi-ezagutza) edo gailuaren desblokeatze-kodearekin.

Ikuspegi arautzailetik, bi faktoreko egiaztapen honek zuzenean betetzen ditu autentifikazio sendoaren (SCA) baldintzak. Sareak balioztatutako kriptograma bat eta tokenari lotutako biometria daudenez, erantzukizun-aldaketa (*liability shift*) gauzatzen da: ordainketa iruzurrezkoa balitz, saltzailea babestuta geratzen da iruzurragatiko chargeback baten aurrean, eta entitate jaulkitzaileak hartzen du bere gain erreklamazioaren kostua.

Abantaila operatiboak formulario tradizionalaren aurrean

Iruzurra murrizteaz gain, sare-tokenen egiturak bi onura tekniko garrantzitsu eskaintzen dizkio negozioari:

• Plastikotik bereizitako bizi-zikloa: Txartel fisikoa galdu, iraungi edo bankuak berritzen duenean, sareak automatikoki eguneratzen du FPAN berriaren eta gailuko DPANaren arteko lotura. Bezeroak ez du txartela berriro sartu beharrik eta iraungitze-datagatik gertatzen diren ukapenak desagertzen dira.
• Marruskadura gutxiago ordainketa-orrian: Erabiltzailea bere bankuko webgunera bideratu behar ez denez 3D Secure tradizionala osatzeko, checkout prozesuan erosketa bertan behera uzteko arriskua nabarmen jaisten da, babes legala mantenduz.

Ondorio praktikoa

Apple Pay eta Google Pay online saltokian eskaintzea ez da estetika kontua soilik, diru-mugimenduen segurtasun-egitura eraldatzea baizik. Txartel-zenbakiak eskuz sartu ordez erabilera bakarreko kriptogramak dituzten sare-tokenak erabiltzeak datu-lapurretak saihesten ditu, gatazken ardura banku jaulkitzaileari transferitzen dio eta iraungitako txartelen eragozpenak ezabatzen ditu.