Токенизация карт: что происходит с номером карты при оплате через смартфон

Когда вы добавляете карту в Apple Pay, Google Pay или Mir Pay, приложение не просто сохраняет её 16-значный номер для последующих платежей. Вместо этого запускается процесс токенизации: настоящий номер карты (PAN, primary account number) заменяется на временный цифровой заменитель — токен, который физически не связан с оригинальным номером и бесполезен вне конкретного устройства и конкретного платёжного контекста. Разбираем, как эта технология устроена на уровне протокола и почему именно она, а не пароль или ПИН-код, стала ключевой защитой цифровых платежей последнего десятилетия.

Что заменяет токен и чем он отличается от шифрования

Принципиально важно различать токенизацию и шифрование, хотя оба термина часто путают в популярных объяснениях. Шифрование обратимо: зашифрованные данные можно математически расшифровать обратно в исходный номер карты, если знать ключ. Токен устроен иначе — у него нет математической связи с оригинальным номером карты вообще: это случайно сгенерированное значение, которое сопоставлено с реальным номером карты только в одном месте — в защищённом хранилище (vault) эмитента токена, и восстановить оригинальный номер из самого токена математическим путём невозможно в принципе, а не просто сложно.

Таблица 1. Токенизация против шифрования

Как устроен единый отраслевой стандарт

Токенизация платежей — не изобретение одной компании, а результат координации крупнейших платёжных систем через организацию EMVCo, объединяющую Visa, Mastercard, American Express, Discover, JCB и UnionPay. Базовый стандарт — EMV Payment Tokenisation Specification — был впервые опубликован в марте 2014 года и с тех пор регулярно обновляется; актуальная версия спецификации вышла в июле 2026 года. Документ определяет формат токена (от 13 до 19 цифр, соответствующих правилам ISO для номеров счетов, чтобы токен внешне выглядел как обычный номер карты для совместимости с уже существующей инфраструктурой), механизмы ограничения домена использования и управление жизненным циклом токена.

Ключевое понятие в этой архитектуре — ограничение домена (domain restriction): каждый токен привязан к конкретному, строго ограниченному контексту — одному устройству, одному продавцу или одному платёжному каналу. Токен, выпущенный для Apple Pay на конкретном айфоне, физически не может быть использован для оплаты на сайте другого продавца, даже если бы злоумышленник каким-то образом получил доступ к этому токену, — именно это ограничение домена и делает украденный токен фактически бесполезным для мошенника, в отличие от украденного номера обычной карты, который можно попытаться использовать где угодно.

Пять этапов жизни токена

Независимо от конкретного поставщика услуги токенизации, процесс состоит из одной и той же последовательности этапов, определённой спецификацией EMVCo:

1. Запрос токена. Кошелёк, продавец или устройство обращается к поставщику токен-сервиса (Token Service Provider) конкретной платёжной системы с запросом на создание токена для конкретной карты.
2. Провижининг. Токен-сервис проверяет карту у банка-эмитента и, при одобрении, создаёт токен, привязанный к конкретному домену использования.
3. Активация. Токен активируется и становится пригоден для реальных платежей в рамках заданного домена.
4. Использование в транзакциях. При каждой оплате токен сопровождается дополнительным одноразовым криптографическим кодом (криптограммой), подтверждающим, что именно эта конкретная транзакция легитимна, — у Visa этот механизм называется TAVV (Token Authentication Verification Value), у Mastercard — DSRP (Digital Secure Remote Payment).
5. Управление жизненным циклом. Токен можно приостановить, удалить или автоматически обновить — например, при перевыпуске физической карты с истёкшим сроком действия сам токен способен продолжать работать без необходимости заново привязывать карту к каждому устройству и сервису, где она была токенизирована ранее.

Кто технически выпускает токены: VTS и MDES

У двух крупнейших платёжных систем есть собственные, архитектурно эквивалентные, но коммерчески независимые сервисы токенизации: Visa Token Service (VTS) и Mastercard Digital Enablement Service (MDES), оба запущенные в 2014 году одновременно с публикацией самого стандарта EMVCo. По данным отраслевых исследований платёжного рынка, к 2024 году около 30% всех транзакций Mastercard проходили с использованием токенизации (порядка 4 млрд токенизированных транзакций в месяц), а к концу 2025 года эта доля выросла до 35-40%. Mastercard уже объявила о планах полностью запретить ручной ввод номера карты для цифровых транзакций в Европе к 2030 году, сделав токенизацию безальтернативным стандартом для всех цифровых платежей на этом рынке.

Токенизация даёт измеримый практический эффект не только в безопасности, но и в конверсии платежей: по собственным данным Visa, токенизированные онлайн-платежи (card-not-present) показывают рост показателя успешной авторизации на 4,6%, у Mastercard аналогичный показатель — 2,1%. Это объясняется тем, что токен несёт дополнительные метаданные о происхождении и контексте транзакции, которые банк-эмитент использует при принятии решения об одобрении операции, — токенизированный платёж просто выглядит для системы риск-анализа банка более надёжным, чем платёж вводом номера карты вручную.

Как это устроено в России: Mir Pay

Токенизация в российской платёжной системе «Мир» реализована по тому же общему принципу, но с важным техническим отличием от западных аналогов. Сервис Mir Pay, разработанный НСПК (Национальной системой платёжных карт) для бесконтактной оплаты картами «Мир» через NFC на устройствах с Android, использует токенизацию, при которой на устройстве хранится не номер карты, а токен-профайл, а реквизиты карты не передаются продавцу в момент оплаты — каждая транзакция подтверждается разблокировкой смартфона или биометрией, что функционально заменяет ввод ПИН-кода. Отличие в том, что при первичном добавлении карты в приложение данные о самой карте передаются напрямую на защищённые серверы платёжной системы, а не хранятся локально на устройстве в открытом виде, — решение, продиктованное разнообразием моделей Android-устройств, где аппаратный элемент безопасности (Secure Element или Trusted Execution Environment), на который полагаются некоторые зарубежные кошельки, присутствует далеко не на каждом телефоне.

Mir Pay приобрёл особое практическое значение на российском рынке после того, как Apple полностью прекратила поддержку карт «Мир» в Apple Pay ещё в 2022 году, а к 2026 году окончательно остановила все платёжные операции в России, включая привязку любых иностранных карт. Российские пользователи Android получили в лице Mir Pay функциональную замену недоступным Apple Pay и Google Pay, тогда как владельцы iPhone фактически лишились возможности бесконтактной оплаты смартфоном напрямую через встроенный кошелёк устройства. Подробнее о том, как в целом устроена механика оплаты через NFC, лежащая в основе и Mir Pay, и зарубежных цифровых кошельков, можно прочитать в материале «NFC и бесконтактные платежи», а о том, какие данные о плательщике в принципе видит продавец при оплате через цифровой кошелёк — в материале «Google Pay и Apple Pay: как это работает и что видит продавец о плательщике».

Почему токенизация выгодна не только безопасностью

Помимо снижения риска мошенничества, у токенизации есть и чисто коммерческий стимул для платёжных систем, который объясняет активное продвижение технологии банками и самими системами. Visa опубликовала глобальное снижение межбанковской комиссии (interchange) на 10 базисных пунктов конкретно для токенизированных платежей без физического присутствия карты — экономический стимул для продавцов и эквайеров активнее внедрять токенизацию не только ради безопасности, но и ради прямой экономии на комиссиях. В совокупности с более высоким процентом успешных авторизаций это делает токенизацию редким случаем технологии, где интересы безопасности клиента и коммерческие интересы платёжной инфраструктуры совпадают почти без противоречий.

• Может ли мошенник использовать украденный токен так же, как украденный номер карты? Практически нет — токен жёстко привязан к конкретному домену использования (конкретному устройству, продавцу или каналу платежа), поэтому даже перехваченный токен бесполезен за пределами того контекста, для которого он был выпущен. Это принципиально отличает токен от обычного номера карты, кражу которого можно попытаться монетизировать в любом месте, принимающем карточные платежи.
• Нужно ли заново привязывать карту к телефону после её физического перевыпуска банком? В большинстве случаев нет — управление жизненным циклом токена, предусмотренное стандартом EMVCo, позволяет автоматически обновить связанный с картой токен при перевыпуске самой карты, не требуя от пользователя заново добавлять её в цифровой кошелёк на каждом устройстве, где она уже была токенизирована ранее.