Bài viết liên quan
Công nghệ & Số hóa
Token hóa thẻ
Card Tokenization
Token hóa thẻ là quy trình thay thế số PAN nhạy cảm của thẻ vật lý hoặc thẻ ảo bằng một chuỗi mã định danh ngẫu nhiên gọi là token, thường có độ dài 13 đến 19 chữ số tương đương PAN. Token hoàn toàn vô nghĩa nếu bị đánh cắp vì không thể dùng để thực hiện giao dịch ngoài thiết bị hoặc merchant đã đăng ký ban đầu. Đây là công nghệ bảo mật nền tảng cho ví điện tử Apple Pay, Google Pay và Samsung Pay.
Token hóa thẻ là gì?
Token hóa thẻ (Card Tokenization) là quy trình mã hóa thay thế số PAN (Primary Account Number) nhạy cảm của thẻ tín dụng, thẻ ghi nợ hoặc thẻ ảo bằng một chuỗi mã định danh ngẫu nhiên gọi là token, thường có độ dài 13 đến 19 chữ số. Token này hoàn toàn vô nghĩa nếu bị đánh cắp vì nó chỉ có hiệu lực trên đúng một thiết bị hoặc merchant đã đăng ký, không thể dùng để thực hiện giao dịch khác.
Cơ chế hoạt động của hệ thống
- Nhà phát hành thẻ (Issuer): Ngân hàng gửi PAN qua mạng tokenization như Visa Token Service (VTS) hoặc Mastercard Digital Enablement Service (MDES) để yêu cầu tạo token.
- Token Service Provider (TSP): Hệ thống của Visa, Mastercard, JCB sinh token ngẫu nhiên và lưu trữ cặp ánh xạ token sang PAN trong vault bảo mật đạt chuẩn FIPS 140-2 Level 3.
- Thiết bị hoặc Merchant: Token được lưu trong Secure Element của điện thoại khi dùng Apple Pay, hoặc tại server merchant đã xác thực qua EMV 3-D Secure.
Ứng dụng tại Việt Nam
Từ năm 2022, Ngân hàng Nhà nước khuyến khích các ngân hàng áp dụng chuẩn EMV Tokenization theo Quyết định 1925/QĐ-NHNN. Tính đến tháng 12/2024:
- Apple Pay: Hỗ trợ bởi Vietcombank, Techcombank, BIDV, ACB, VPBank, MB Bank, TPBank, Sacombank, MSB, OCB, SeABank, VietCapitalBank, Shinhan Vietnam với hơn 4 triệu thẻ đã token hóa.
- Google Pay: Hỗ trợ bởi Vietcombank, Techcombank, MBBank, ACB từ quý 3/2024.
- Samsung Pay: Hỗ trợ bởi Vietcombank và BIDV.
Lợi ích bảo mật
- Giảm 95% tỷ lệ gian lận thẻ tín dụng so với lưu PAN thô theo báo cáo của Visa năm 2023.
- Token bị lộ chỉ vô hiệu trên thiết bị đó, không ảnh hưởng đến thẻ vật lý gốc.
- Tuân thủ chuẩn PCI DSS 4.0 - phiên bản mới nhất có hiệu lực từ ngày 31 tháng 3 năm 2024.
Ví dụ thực tế
Khách hàng VPBank thêm thẻ tín dụng vào Apple Pay, số PAN 4111-XXXX-XXXX-1234 được thay bằng token 4912-XXXX-XXXX-8888. Khi thanh toán 5.000.000 đồng tại Grab, token này được gửi đến Visa, Visa tra cứu trong vault, sinh mã CRN (Card Reference Number) gửi về VPBank xác thực. Toàn bộ quy trình hoàn tất trong 1,5 giây với giao dịch hoàn toàn bảo mật và không lộ PAN thật của khách hàng.