Tokenised Card là gì?

Tokenised Card (Thẻ token hóa)

Tokenised Card là thẻ thanh toán (thẻ ghi nợ, thẻ tín dụng hoặc thẻ trả trước) mà số thẻ vật lý gốc (PAN – Primary Account Number) được thay thế bằng một mã số thay thế gọi là token khi lưu trữ trên thiết bị di động, ví điện tử hoặc nền tảng thanh toán trực tuyến. Mỗi token chỉ gắn với một thiết bị, một ví điện tử hoặc một merchant cụ thể, có thời hạn sử dụng giới hạn và không có giá trị ngoài phạm vi được phép. Khi khách hàng thực hiện giao dịch, hệ thống sẽ gửi token đến tổ chức phát hành thẻ (issuer); tổ chức này đối chiếu và phản hồi kết quả phê duyệt giao dịch mà số thẻ thật không bao giờ xuất hiện trên đường truyền. Đây là giải pháp cốt lõi trong các dịch vụ thanh toán di động như Apple Pay, Samsung Pay, Google Pay, Garmin Pay và nhiều ví điện tử tại Việt Nam.

Cách thức hoạt động của Tokenised Card

Quy trình token hóa thẻ trải qua nhiều bước theo chuẩn do các tổ chức thẻ quốc tế (Visa, Mastercard, JCB, NAPAS) thiết lập:

1. Yêu cầu cấp token (Token Request): Khi người dùng thêm thẻ vào ví điện tử, ứng dụng ví sẽ gửi yêu cầu tới hệ thống Token Service Provider (TSP) – thường là chính tổ chức thẻ quốc tế hoặc đơn vị được ủy quyền.
2. Xác thực chủ thẻ: Ngân hàng phát hành xác minh thông tin thẻ và danh tính khách hàng thông qua OTP, sinh trắc học hoặc 3D Secure.
3. Sinh và gán token: Hệ thống TSP tạo một chuỗi số token (thường có định dạng BIN riêng, ví dụ bắt đầu bằng dải số 4888 đối với Visa Token Service). Token này được gán cố định cho: thiết bị cụ thể (Device ID), merchant cụ thể (Merchant ID), hoặc kênh thanh toán cụ thể.
4. Lưu trữ an toàn: Token được lưu trong vùng bảo mật phần cứng của thiết bị (Secure Element) hoặc trong môi trường TEE (Trusted Execution Environment), đảm bảo không bị trích xuất ngay cả khi thiết bị bị jailbreak/root.
5. Thanh toán: Khi khách hàng chạm thẻ (NFC) hoặc thanh toán trực tuyến, token được mã hóa và gửi đến acquirer; acquirer chuyển tiếp tới issuer để phê duyệt; issuer ánh xạ token về PAN gốc và xử lý giao dịch như bình thường.

Lợi ích của Tokenised Card đối với ngân hàng và khách hàng

• Giảm thiểu gian lận thẻ: Số thẻ thật không xuất hiện trong giao dịch nên hacker đánh cắp dữ liệu từ merchant không thể sử dụng lại để thanh toán. Theo báo cáo của Visa, token hóa giúp giảm hơn 28% tỷ lệ gian lận trên các giao dịch thẻ không hiện diện (CNP) tại khu vực châu Á – Thái Bình Dương.
• Tuân thủ tiêu chuẩn bảo mật PCI DSS: Merchant và ví điện tử lưu token thay vì PAN thật giúp giảm phạm vi kiểm toán PCI, tiết kiệm chi phí vận hành.
• Trải nghiệm khách hàng: Khách hàng có thể thanh toán một chạm qua điện thoại, đồng hồ thông minh mà không cần mang theo thẻ vật lý. Một số ngân hàng Việt Nam như Vietcombank, Techcombank, MB, TPBank đã triển khai token hóa thẻ cho Apple Pay, Google Pay, Samsung Pay.
• Bảo vệ dữ liệu khi mất thiết bị: Người dùng có thể yêu cầu ngân hàng vô hiệu hóa token từ xa mà không cần khóa thẻ vật lý.

Hạn chế và rủi ro cần lưu ý

• Phụ thuộc vào hạ tầng thiết bị: cần điện thoại/máy tính bảng hỗ trợ NFC, hệ điều hành cập nhật.
• Một thẻ vật lý có thể sinh ra nhiều token (mỗi thiết bị một token riêng), gây khó khăn cho ngân hàng trong việc quản lý và giám sát.
• Một số merchant nhỏ chưa chấp nhận thanh toán qua ví di động, đặc biệt tại vùng nông thôn Việt Nam.
• Token vẫn có thể bị lợi dụng nếu kẻ gian chiếm được quyền điều khiển thiết bị và vượt qua xác thực sinh trắc học.

Câu hỏi thường gặp

Hỏi: Tokenised Card có phải là thẻ ảo (virtual card) hay không?

Trả lời: Không hoàn toàn. Thẻ ảo là thẻ được tạo ra với số PAN ngẫu nhiên, dùng một lần hoặc có thời hạn, thường phát sinh từ ngân hàng số. Tokenised Card thì dùng chính thẻ vật lý gốc, chỉ thay PAN bằng token khi lưu trên ví điện tử. Một thẻ vật lý có thể vừa phát hành thẻ ảo, vừa được token hóa – hai cơ chế hoạt động độc lập nhưng bổ trợ nhau.

Hỏi: Khi token hóa thẻ, có cần thay đổi số tài khoản hay mã PIN không?

Trả lời: Không. Token chỉ thay thế PAN ở phía thiết bị/merchant, còn tài khoản ngân hàng gắn với thẻ và mã PIN của khách hàng hoàn toàn không thay đổi. Mọi giao dịch phát sinh từ token vẫn đối chiếu về cùng một tài khoản thanh toán, sao kê vẫn thể hiện giao dịch như thẻ vật lý thông thường.

Hỏi: Thẻ token hóa có bị ảnh hưởng khi thẻ vật lý hết hạn hoặc bị khóa?

Trả lời: Khi thẻ vật lý được gia hạn (renew), token sẽ tự động được cập nhật theo thẻ mới nếu ngân hàng hỗ trợ cơ chế token lifecycle management. Ngược lại, nếu thẻ bị khóa hoặc hủy, toàn bộ token phát sinh từ thẻ đó sẽ đồng thờng bị vô hiệu hóa trong vòng vài phút đến vài giờ tùy hệ thống, nhằm ngăn chặn giao dịch gian lận.

Nội dung mang tính tham khảo về sản phẩm và cơ chế vận hành, không thay thế tư vấn trực tiếp từ ngân hàng phát hành thẻ.