A tokenização é a melhor solução para proteger o número do cartão, impedindo que ele seja comprometido em bases de dados.
Um dos desafios mais antigos da indústria de pagamentos é proteger o número do cartão contra o seu uso fraudulento. A proteção ao PAN (Payment Card Number) vem desde um passado muito distante, quando os comprovantes de venda eram preenchidos manualmente, utilizando um equipamento como o exibido acima.
Nessa época, os fraudadores recolhiam as cópias do papel carbono utilizado nos comprovantes de venda para capturar o número do cartão, o nome do portador e a data de validade. Era a forma de criar um cartão falso.
Os cartões evoluíram para o uso das trilhas magnéticas, facilitando a captura das transações e evitando a falsificação do cartão. Mas como sabemos, a cada proteção corresponde uma nova fraude e esta evoluiu para a clonagem das trilhas magnéticas, motivo de muitas perdas e preocupações no final dos anos 1990 e início de 2000.
A etapa seguinte da evolução da indústria de pagamentos foi a introdução dos chips nos cartões, utilizando um padrão promovido pelo consórcio impulsionado por Europay, Mastercard e Visa, que se tornou o EMVCo.
As transações de pagamentos evoluíram da modalidade presencial para a modalidade remota, como e-commerce, as assinaturas de serviços etc. Já começam a estar presentes nas relações entre dispositivos, utilizando a Internet das Coisas (IoT). Para a proteção destes pagamentos o EMVCo já implementou padrões de segurança, como a tokenização EMV e mais recentemente os pagamentos remotos (SRC), Click to Pay.
Mas ainda existem milhares de plataformas de pagamento por todo o mundo que ainda armazenam os dados sensíveis do cartão em arquivos, entre eles o PAN e que precisarão migrar para métodos mais indicados de proteção. De tempos em tempos, surgem notícias de que milhões de cartões foram comprometidos pela invasão de uma base de dados ou na interceptação de uma troca de informações entre entidades.
Um dos casos mais famosos foi o que envolveu a loja de varejo Target em 2013, mas muitos outros casos continuam se sucedendo desde então.
A implantação da tokenização seguindo o padrão EMV pode ser demorada e relativamente dispendiosa, dependendo das circunstâncias.
Mas o checkout das lojas tem meios mais rápidos e acessíveis de proteção baseadas em FPE, como já indicava o NIST em 2016. “O FPE facilita o direcionamento da criptografia para informações confidenciais, bem como a adaptação da tecnologia de criptografia para aplicativos legados, onde um modo de criptografia convencional pode não ser viável. Por exemplo, os aplicativos de banco de dados podem não suportar alterações no comprimento ou formato de campos de dados. O FPE surgiu como uma ferramenta criptográfica útil, cujas aplicações incluem segurança de informações financeiras, sanitização de dados, e a criptografia transparente de campos em bancos de dados legados”.
A publicação do NIST apresenta dois modos FPE, que foram identificados como FF1 e FF3, para indicar que eles são modos de criptografia baseados em Feistel com preservação de formato. FF1 foi submetido ao NIST sob o nome FFX [Radix]. FF3 é um componente do método FPE que foi enviado ao NIST sob o nome de BPS. Em particular, FF3 é essencialmente equivalente ao componente BPS-BC de BPS, instanciado com uma cifra de bloco de 128 bits.
Conclusão:
A tokenização do número do cartão é a solução mais segura de impedir que ele possa ser recuperado em uma eventual invasão, ataque ou mesmo intercepção de dados durante uma atividade de transmissão.
Sua implementação não precisa ser complexa e acrescenta uma camada muito importante de proteção contra fraudes.
