Token hoá thẻ
Token hoá thẻ (Card Tokenization) là công nghệ bảo mật trong thanh toán kỹ thuật số, trong đó số thẻ thật (PAN – Primary Account Number) của khách hàng được thay thế bằng một chuỗi mã ngẫu nhiên gọi là "token" khi giao dịch được thực hiện trên các kênh không tiếp xúc vật lý (như thanh toán trực tuyến, ví điện tử, ứng dụng ngân hàng di động, hoặc thiết bị IoT). Token này là duy nhất cho mỗi thiết bị, mỗi nhà phát hành thẻ, mỗi loại giao dịch và mỗi tổ chức thanh toán, nên ngay cả khi bị lộ, kẻ gian cũng không thể dùng token để thực hiện giao dịch gian lận ở môi trường khác. Công nghệ này hoạt động theo tiêu chuẩn do các tổ chức thanh toán quốc tế như Visa, Mastercard, JCB, American Express và UnionPay quản lý thông qua các hệ thống như Visa Token Service, Mastercard Digital Enablement Service, giúp giảm đáng kể rủi ro lộ dữ liệu thẻ, gian lận CNP (Card-Not-Present) và đánh cắp thông tin tài chính trong quá trình lưu trữ, truyền tải hoặc xử lý giao dịch.
Quy trình hoạt động của token hoá
Quy trình token hoá diễn ra theo các bước cơ bản: (1) Khách hàng nhập thông tin thẻ vào ứng dụng của đơn vị yêu cầu token (Token Requestor – ví dụ: ví điện tử MoMo, ZaloPay, ShopeePay; sàn thương mại điện tử Shopee, Lazada, Tiki; hoặc ứng dụng ngân hàng); (2) Hệ thống gửi yêu cầu cấp token đến ngân hàng phát hành thẻ thông qua hệ thống của tổ chức thanh toán quốc tế; (3) Ngân hàng phát hành xác thực khách hàng (thường qua OTP, sinh trắc học hoặc 3D Secure) và phê duyệt cấp token; (4) Token được tạo ra với các ràng buộc cụ thể (phạm vi sử dụng, số lần dùng, giá trị tối đa, thời hạn hiệu lực) và gắn liền với thiết bị/tài khoản yêu cầu; (5) Mọi giao dịch sau đó từ thiết bị đó sẽ sử dụng token thay cho số thẻ thật. Số thẻ thật chỉ được lưu trữ an toàn tại hệ thống của ngân hàng phát hành và nhà cung cấp dịch vụ token (Token Service Provider), không bao giờ xuất hiện trong hệ thống của merchant hay ví điện tử.
Lợi ích của token hoá đối với các bên
Đối với khách hàng: giảm thiểu rủi ro lộ số thẻ khi thanh toán trực tuyến hoặc khi thiết bị bị đánh cắp, tăng tốc độ thanh toán (không cần nhập lại thông tin thẻ cho các giao dịch tiếp theo), trải nghiệm thanh toán một chạm (one-tap payment) trên các nền tảng quen thuộc. Khi thẻ vật lý hết hạn hoặc bị khóa, token sẽ tự động được cập nhật mà không cần khách hàng phải nhập lại thông tin.
Đối với ngân hàng phát hành: giảm tỷ lệ giao dịch gian lận và tổn thất từ các vụ vi phạm dữ liệu, có thêm lớp xác thực trước khi cấp token, tăng cường khả năng kiểm soát phạm vi sử dụng thẻ theo từng kênh.
Đối với merchant và ví điện tử: giảm trách nhiệm tuân thủ tiêu chuẩn bảo mật PCI DSS (vì họ không lưu trữ số thẻ thật), tăng tỷ lệ giao dịch thành công nhờ xác thực nâng cao và giảm tỷ lệ khách hàng bỏ giỏ hàng (cart abandonment rate).
So sánh token hoá với mã hoá (Encryption) và 3D Secure
Token hoá thường bị nhầm lẫn với mã hoá (encryption) nhưng đây là hai cơ chế khác nhau. Mã hoá là quá trình biến đổi dữ liệu gốc thành dạng mật mã và có thể được giải mã ngược lại bằng khoá phù hợp; dữ liệu mã hoá vẫn chứa thông tin nhạy cảm và nếu khoá bị lộ, dữ liệu sẽ bị lộ theo. Token hoá thay thế hoàn toàn dữ liệu gốc bằng một mã thay thế không có giá trị sử dụng bên ngoài hệ thống token, không thể đảo ngược về số thẻ thật. Cả hai thường được sử dụng kết hợp để tạo cơ chế bảo mật nhiều lớp.
Bên cạnh đó, 3D Secure (Verified by Visa, Mastercard SecureCode, J/Secure) là giao thức xác thực bổ sung giúp xác minh danh tính chủ thẻ trong giao dịch CNP, thường thông qua OTP, mật khẩu hoặc sinh trắc học. 3D Secure và token hoá bổ sung cho nhau: 3D Secure xác thực chủ thẻ khi phát sinh giao dịch, còn token hoá bảo vệ dữ liệu thẻ khi được lưu trữ và truyền tải trong hệ thống thanh toán.
Token hoá tại thị trường Việt Nam
Tại Việt Nam, Ngân hàng Nhà nước đã quy định về việc không lưu trữ số thẻ, thông tin thẻ của khách hàng tại các đơn vị chấp nhận thẻ và đơn vị trung gian thanh toán, từ đó thúc đẩy mạnh mẽ việc áp dụng token hoá trong hệ sinh thái thanh toán. Tiêu chuẩn quốc gia về token hoá cũng đã được ban hành (thuộc nhóm tiêu chuẩn TCVN về tài chính – ngân hàng) dựa trên tiêu chuẩn ISO/IEC 7816 và các tiêu chuẩn quốc tế của EMVCo, áp dụng cho các thẻ chip, thẻ không tiếp xúc (contactless) và thanh toán di động. Hầu hết các ngân hàng lớn như Vietcombank, Techcombank, MB, ACB, TPBank, VPBank… đều đã triển khai token hoá cho thẻ Visa, Mastercard, JCB và NAPAS trên các nền tảng Apple Pay, Samsung Pay, Google Pay và ví điện tử đối tác. Khi khách hàng đăng ký thẻ vào ví điện tử, thực chất là đang thực hiện quy trình token hoá.
Câu hỏi thường gặp
Hỏi: Nếu điện thoại bị mất hoặc bị đánh cắp, kẻ gian có dùng được token trong ví điện tử để thanh toán không?
Khó có thể sử dụng được trong hầu hết trường hợp. Các ví điện tử và hệ điều hành (iOS, Android) yêu cầu xác thực sinh trắc học (vân tay, nhận diện khuôn mặt) hoặc mật mã thiết bị trước mỗi giao dịch. Ngoài ra, token thường bị giới hạn phạm vi (chỉ dùng trên thiết bị cụ thể, tại merchant cụ thể, với giá trị tối đa và số lần giao dịch nhất định). Khách hàng nên liên hệ ngay ngân hàng phát hành để khoá thẻ và vô hiệu hoá tất cả token đã cấp khi mất thiết bị.
Hỏi: Token hoá thẻ có thay thế được chip EMV và mã PIN trên thẻ vật lý không?
Không. Token hoá chỉ là lớp bảo mật bổ sung cho các giao dịch kỹ thuật số và không tiếp xúc, không thay thế chip EMV (bảo mật cho giao dịch tại POS) hay mã PIN (xác thực chủ thẻ tại ATM/POS). Mỗi công nghệ có vai trò riêng: chip EMV bảo vệ giao dịch tại điểm bán, mã PIN xác thực chủ thẻ tại thiết bị vật lý, còn token hoá bảo vệ dữ liệu thẻ trong môi trường số.
Hỏi: Merchant hay ví điện tử có thể tự ý tạo token để lưu thẻ khách hàng mà không cần hỏi ý kiến ngân hàng phát hành không?
Không. Mọi yêu cầu cấp token đều phải được ngân hàng phát hành thẻ chấp thuận và xác thực danh tính chủ thẻ. Đơn vị yêu cầu token (Token Requestor) phải đăng ký và được tổ chức thanh toán quốc tế phê duyệt trước khi có thể gửi yêu cầu cấp token. Nếu merchant lưu trữ số thẻ thật thay vì token, họ vi phạm tiêu chuẩn PCI DSS và chịu các chế tài từ phía ngân hàng và tổ chức thanh toán.
Nội dung mang tính tham khảo về công nghệ và nghiệp vụ ngân hàng, không thay thế tư vấn chuyên môn của tổ chức phát hành thẻ hoặc cơ quan quản lý.