Tokenization (Mã hóa dữ liệu thẻ)

Tokenization (Mã hóa dữ liệu thẻ) là gì?

Tokenization là quá trình thay thế dữ liệu nhạy cảm của thẻ thanh toán (số PAN 16 số, mã CVV/CVC, ngày hết hạn, họ tên chủ thẻ) bằng một chuỗi mã ngẫu nhiên (token). Token không có giá trị sử dụng ngoài ngữ cảnh giao dịch cụ thể và không thể bị đảo ngược để truy xuất dữ liệu thẻ gốc nếu thiếu hệ thống ánh xạ bảo mật (token vault) của tổ chức phát hành hoặc tổ chức chuyển mạch thẻ Visa/Mastercard/JCB.

Đặc điểm

• Token có cấu trúc khác hoàn toàn PAN gốc, không tuân theo thuật toán Luhn, thường dài 13-19 ký tự.
• Phạm vi sử dụng bị giới hạn: theo thiết bị (device-bound), theo merchant (merchant-specific) hoặc dùng một lần (single-use).
• Quá trình detokenization chỉ diễn ra tại vault của ngân hàng phát hành, tuân thủ chuẩn bảo mật PCI DSS v4.0.
• Giảm thiểu rủi ro lộ dữ liệu khi lưu trữ, truyền tải và xử lý giao dịch, đặc biệt với giao dịch không tiếp xúc NFC và thanh toán trong ứng dụng di động.

Ví dụ

Khi khách hàng liên kết thẻ ATM VISA vào ví MoMo, ZaloPay hoặc Apple Pay, hệ thống Visa Token Service sẽ tạo một Device Account Number (DAN) thay thế PAN gốc. Khi thanh toán không tiếp xúc qua Samsung Pay trên điện thoại Galaxy, số DAN này được mã hóa và truyền qua NFC, đảm bảo số thẻ thật không bao giờ bị lộ ra ngoài thiết bị. Theo Thông tư 17/2024/TT-NHNN quy định về an toàn, bảo mật trong hoạt động ngân hàng và Quyết định 2345/QĐ-NHNN năm 2023 về triển khai giải pháp an toàn giao dịch trực tuyến, các trung gian thanh toán và ví điện tử phải áp dụng tokenization, không được lưu trữ PAN ở dạng rõ (cleartext).