Usted pregunta por qué el número de tarjeta y el código de seguridad están impresos en la tarjeta. En ambos casos, repasemos un poco la historia:
El número de tarjeta
El número de tarjeta (llamado PAN en la industria) es sólo un identificador, no tiene por qué ser secreto. Es necesario para cualquier transacción, para que un cargo pueda ser… cargado a la cuenta correspondiente, ya sea:
- en un punto de venta físico (TPV), utilizando el antiguo método del “impresor” (no estoy seguro de que todavía se utilice en algún lugar). Por eso, el número está realmente grabado, no sólo impreso (junto con los demás datos necesarios para la transacción: fecha de caducidad, nombre del titular de la tarjeta).
en un punto de venta, mediante un terminal de punto de venta (“máquina de tarjetas de crédito”), que lee la banda magnética o el chip de la tarjeta, que proporcionan el PAN y el resto de los datos sin ninguna autentificación o cifrado.
por teléfono o en papel (lo que en el sector se conoce como “MOTO”: pedido por correo / pedido por teléfono), cuando sólo se leen los datos por teléfono o se escriben en el formulario de pedido.
en Internet, donde hay que leer el número de la tarjeta e introducirlo en un formulario. ¿Cómo puedes pedir algo si no puedes leer el número de la tarjeta?
El PAN nunca se ha considerado un secreto. Es sólo un número de cuenta, exactamente igual que el número de cuenta que aparece en los cheques de papel, para saber de qué cuenta hay que sacar el dinero.
Hay quien piensa que la clave (el último dígito) es un elemento de seguridad (pobre), cuando en realidad sólo se utiliza para protegerse de los errores de introducción (dígito cambiado, dígitos intercambiados…).
Hoy en día, la gente empieza a pensar que un PAN debe ser secreto, y esto ha llevado a la introducción de la “tokenización”: en lugar de enviar el número de tarjeta real, se envía otro número de tarjeta, que está limitado a un canal específico (y posiblemente a un dispositivo), o incluso a una sola transacción.
Este es el caso, por ejemplo, de Apple Pay: cuando registras tu tarjeta con su PAN real, el banco te devuelve un token (PAN “falso”) que se utiliza en su lugar, y que solo puede usarse para los pagos realizados con Apple Pay en ese dispositivo. Si alguna vez alguien interceptara ese PAN, no podría hacer nada con él: no se aceptará para añadir una tarjeta a Apple Pay, no se aceptará en la tienda, en línea, por teléfono, ni en ningún otro sitio.
¿Es realmente útil? En un mundo perfecto en el que todas las transacciones se autentifican por otros medios, realmente no debería importar, un PAN por sí mismo debería ser inútil. En la práctica, como hay canales que permiten el uso de métodos de autenticación bastante inseguros, es una línea de defensa adicional.
Hay que tener en cuenta que la necesidad de tokenización es probablemente un poco más importante con la introducción del contactless: se puede leer el PAN de cualquier tarjeta contactless sin ni siquiera tocarla, es sólo cuestión de acercarse lo suficiente.
El código de seguridad
El código de seguridad impreso en el reverso de la tarjeta (o en el anverso, en el caso de las tarjetas American Express) no estaba presente originalmente. Se añadió para evitar los siguientes casos de fraude:
un recibo de tarjeta de crédito con el número completo de la tarjeta (y el nombre y la caducidad) era desechado y recogido por otra persona (esto era especialmente cierto cuando se utilizaban impresoras, pero también lo era antes de que las redes de tarjetas decidieran finalmente que estaba prohibido imprimir el PAN completo en el recibo del cliente).
se “pasa” una tarjeta para registrar el contenido de la banda magnética, que contiene el PAN, la caducidad, el nombre del titular y más…). Esto permitía a las personas que tenían acceso físico a las tarjetas (camareros, cajeros…) registrar un gran número de tarjetas con bastante rapidez sin que se notara.
Para contrarrestarlo, se añadió este nuevo código, que no figura en el recibo (ya que no está grabado en relieve), y tampoco está en la pista magnética.
Este código es necesario sólo para las compras MOTO y en línea, donde no se puede ver si el usuario realmente tiene la tarjeta (una transacción llamada “tarjeta no presente”), y se quiere estar un poco más seguro de que el usuario tiene la tarjeta.
En efecto, esto es bastante fácil de eludir: basta con hacer una copia completa de la tarjeta (por ambas caras) o anotar todos los datos. Pero en muchos de los escenarios anteriores, eso hace que sea un poco más difícil que un usuario deshonesto lo haga sin ser notado.
(La introducción de los terminales portátiles también ayuda mucho, ya que el usuario puede mantener los ojos -y las manos- sobre la tarjeta en todo momento, pero especialmente en los restaurantes de EE.UU., esto no es todavía una práctica estándar).
El código de seguridad también ayuda en el caso de que un sitio almacene los datos de tu tarjeta de crédito y alguien consiga acceder a ellos: en teoría, nadie puede almacenar el código de seguridad, por lo que un pirata informático sólo obtendría el PAN y la caducidad, y no podría volver a utilizarlo, pero, en la práctica, demasiada gente sigue almacenando el código de seguridad. La industria está persiguiendo a estos (es uno de los aspectos de la iniciativa PCI DSS), pero aún queda mucho camino por recorrer.
La verdadera protección proviene de las nuevas medidas de autenticación (3D Secure) que permiten otro modo de verificación más allá de esos datos. Dependiendo del banco (o incluso de la tarjeta), podrían implicar:
- una contraseña
- una contraseña de un solo uso (OTP) enviada por SMS u otro medio
- autenticación biométrica (huella dactilar, reconocimiento facial, escáner de iris…)
- hablar realmente con el chip de la tarjeta mediante el uso del lector de tarjetas conectado a su ordenador (no estoy seguro de que esto se haya implantado realmente en ningún sitio) …
Tenga en cuenta que el código de seguridad se utiliza sólo para las transacciones en línea/MOTO (transacciones “sin tarjeta”). Las transacciones con tarjeta presente utilizarán:
- otro código de seguridad que está en la banda magnética (aunque es fácil de copiar)
- la comunicación con el chip (en las tarjetas que lo tienen) para que la tarjeta se autentique.
