Pagamenti e trasferimenti
Carte di credito
Trasferimenti con carta di credito sui Suoi conti presso di noi
È ora possibile trasferire fondi, entro i limiti della Sua carta, sui Suoi conti presso di noi, in IFC o in IFB, provenienti da un'ampia gamma di circuiti di carte di credito o prepagate. Sono inclusi fornitori di rilevanza globale quali Visa, Mastercard, American Express, Diners, Union Pay, Discover, tra gli altri.
Non è necessario alcun terminale fisico. Questa infrastruttura digitale fluida nel cloud agevola trasferimenti di fondi sicuri e pratici praticamente da qualsiasi luogo.
Ulteriori valute
Trasferimento dalla carta al Suo conto in una qualsiasi di queste valute, elaborato da PayPal.
Tramite
Altre valute
Per qualsiasi altra valuta, La preghiamo di contattarci: con ogni probabilità saremo in grado di predisporre un link personalizzato per Lei:
- AED – dirham degli Emirati Arabi Uniti
- AFN – Afghani afghano
- ALL – Lek albanese
- AMD – Dram armeno
- ANG – fiorino delle Antille olandesi
- AOA – Kwanza angolano
- ARS – Peso argentino
- AUD – Dollaro australiano
- AWG – Fiorino di Aruba
- AZN – Manat azero
- BAM – Marco convertibile della Bosnia-Erzegovina
- BBD – Dollaro di Barbados
- BDT – Taka del Bangladesh
- BGN – Lev bulgaro
- BIF – Franco burundese
- BMD – Dollaro delle Bermuda
- BND – Dollaro del Brunei
- BOB – boliviano (Bolivia)
- BRL – Real brasiliano
- BSD – Dollaro delle Bahamas
- BWP – Pula del Botswana
- BYN – Rublo bielorusso
- BZD – Dollaro del Belize
- CAD – Dollaro canadese
- CDF – Franco congolese
- CHF – Franco svizzero
- CLP – Peso cileno
- CNY – Yuan cinese
- COP – Peso colombiano
- CRC – Colón costaricano
- CVE – Escudo capoverdiano
- CZK – Corona ceca
- DJF – Franco di Gibuti
- DKK – corona danese
- DOP – Peso dominicano
- DZD – Dinaro algerino
- EGP – Sterlina egiziana
- ETB – Birr etiope
- FJD – Dollaro delle Figi
- FKP – sterlina delle Isole Falkland
- GEL – Lari georgiano
- GIP – Sterlina di Gibilterra
- GMD – Dalasi gambiano
- GNF – Franco guineano
- GTQ – Quetzal guatemalteco
- GYD – Dollaro della Guyana
- HKD – Dollaro di Hong Kong
- HNL – Lempira honduregno
- HRK – Kuna croata
- HTG – Gourde haitiano
- HUF – Fiorino ungherese
- IDR – Rupia indonesiana
- ISK – Corona islandese
- JMD – Dollaro giamaicano
- KES – Scellino keniano
- KGS – Som kirghiso
- KHR – Riel cambogiano
- KMF – Franco comoriano
- KRW – Won sudcoreano
- KYD – Dollaro delle Isole Cayman
- KZT – Tenge kazako
- LAK – Kip laotiano
- LBP – Lira libanese
- LKR – Rupia singalese
- LRD – Dollaro liberiano
- LSL – Loti del Lesotho
- MAD – Dirham marocchino
- MDL – Leu moldavo
- MGA – Ariary malgascio
- MKD – Denaro macedone
- MMK – Kyat del Myanmar
- MNT – Tugrik mongolo
- MOP – Pataca di Macao
- MRU – Ouguiya mauritano
- MUR – Rupia mauriziana
- MVR – Rufiyaa maldiviana
- MWK – Kwacha malawiano
- MXN – Peso messicano
- MYR – Ringgit malese
- MZN – Metical mozambicano
- NAD – Dollaro namibiano
- NGN – Naira nigeriano
- NIO – Córdoba nicaraguense
- NOK – corona norvegese
- NPR – Rupia nepalese
- NZD – Dollaro neozelandese
- PAB – Balboa panamense
- PEN – Sol peruviano
- PGK – Kina della Papua Nuova Guinea
- PHP – Peso filippino
- PKR – Rupia pakistana
- PLN – Zloty polacco
- PYG – Guaraní paraguaiano
- QAR – Rial qatariota
- RON – Leu rumeno
- RSD – dinaro serbo
- RWF – Franco ruandese
- SBD – Dollaro delle Isole Salomone
- SCR – Rupia delle Seychelles
- SEK – Corona svedese
- SGD – Dollaro di Singapore
- SHP – Sterlina di Sant'Elena
- SLE – Leone della Sierra Leone
- SOS – Scellino somalo
- SRD – Dollaro del Suriname
- STN – Dobra di São Tomé e Príncipe
- SZL – Lilangeni dello Swaziland
- TJS – Somoni tagiko
- TOP – Paʻanga tongano
- TTD – Dollaro di Trinidad e Tobago
- TWD – Nuovo dollaro taiwanese
- TZS – scellino tanzaniano
- UAH – Grivna ucraina
- UGX – Scellino ugandese
- UYU – Peso uruguaiano
- UZS – Som uzbeko
- VND – Dong vietnamita
- VUV – Vatu di Vanuatu
- WST – tala samoano
- XAF – Franco CFA dell'Africa centrale
- XCD – Dollaro dei Caraibi orientali
- XOF – Franco CFA dell'Africa occidentale
- XPF – Franco CFP
- YER – Rial yemenita
- ZAR – Rand sudafricano
- ZMW – Kwacha zambiano
Differenze tra carte di credito e carte di debito
Le differenze tra carte di debito e carte di credito sono significative ed è importante comprendere le funzionalità e l'impatto di ciascuna.
Ecco una spiegazione più dettagliata:
- Origine dei fondi: questa è la differenza più sostanziale tra le due.
- Carta di debito: quando si utilizza una carta di debito, l'importo viene prelevato direttamente dal conto corrente collegato quasi istantaneamente. È come denaro contante elettronico: si utilizza il proprio denaro, già disponibile sul conto bancario.
- Carta di credito: La carta di credito è invece, nella sostanza, una linea di credito o un finanziamento concesso dall'emittente della carta. Quando si effettua una transazione con carta di credito, l'emittente salda la transazione. Il titolare ottiene denaro a prestito con l'impegno di rimborsarlo integralmente o a rate nel tempo.
- Impatto sul merito creditizio:
- Carta di debito: l'utilizzo della carta di debito non incide sul Suo merito creditizio, poiché non comporta alcun indebitamento. Equivale a un pagamento in contanti o con assegno.
- Carta di credito: L'utilizzo della carta di credito, invece, incide direttamente sul Suo punteggio di merito creditizio. L'importo del credito utilizzato rispetto al massimale disponibile (rapporto di utilizzo del credito), lo storico dei pagamenti e l'anzianità della storia creditizia, tra gli altri fattori, possono influire positivamente o negativamente sul punteggio.
- Protezione contro addebiti fraudolenti:
- Carta di debito: le carte di debito offrono tutele inferiori rispetto alle carte di credito. In caso di smarrimento o furto della carta di debito, la responsabilità massima potrebbe corrispondere all'intero importo presente sul conto, a seconda del tempo impiegato per denunciare l'evento.
- Carta di credito: le carte di credito offrono tutele più solide. Ai sensi della legge federale statunitense, la Sua responsabilità massima per l'uso non autorizzato della Sua carta di credito è limitata a 50 USD.
- Commissioni e interessi:
- Carta di debito: le carte di debito, di norma, non prevedono alcuna forma di interesse, poiché si spende denaro proprio. Possono tuttavia comportare commissioni di varia natura, quali commissioni di scoperto o di transazione.
- Carta di credito: Le carte di credito prevedono spesso tassi di interesse elevati sui saldi non pagati dopo la data di scadenza e possono comportare una serie di commissioni, quali quote annuali, commissioni per ritardato pagamento e commissioni per anticipo di contanti.
La comprensione di tali differenze consente di decidere in modo consapevole quando utilizzare ciascun tipo di carta e come farlo con responsabilità.
Dove sono depositati i fondi nel caso delle carte prepagate, a differenza delle carte di credito e di debito?
Carte prepagate
I fondi presenti sulle carte prepagate sono detenuti dall'emittente della carta (o dalla relativa banca partner) e sono associati al numero della carta nel sistema dell'emittente. Prima di una transazione, il titolare carica denaro sulla carta, che può poi essere utilizzata presso gli esercenti convenzionati o per prelievi presso gli sportelli ATM. Il saldo della carta diminuisce a ogni transazione e può essere ricaricato secondo necessità.
Carte di debito
Le carte di debito sono collegate direttamente al conto bancario del titolare. Quando viene effettuata una transazione, i fondi sono trasferiti in tempo reale o quasi reale dal conto del titolare a quello dell'esercente. Il limite di spesa del titolare è determinato dal saldo disponibile sul conto bancario associato.
Carte di credito
Le carte di credito sono emesse con una linea di credito rotativa stabilita dall'emittente. Quando avviene una transazione, l'emittente paga l'esercente per conto del titolare, il quale deve poi all'emittente l'importo della transazione. Il titolare può mantenere un saldo debitorio da un mese all'altro, soggetto a interessi, oppure estinguere integralmente il saldo ogni mese.
Qual è il ruolo di Visa, Mastercard, American Express, Diners, Union Pay, ecc.?
Visa, Mastercard, American Express, Diners, Union Pay e altri (i circuiti di pagamento) fungono da canale per banche e altre istituzioni finanziarie, fornendo servizi di compensazione e regolamento per le operazioni tra consumatori, esercenti e banche in qualità di reti di pagamento, ma ciò non comporta che detengano essi stessi i fondi.
- Visa, Mastercard e Union Pay sono circuiti di pagamento. Soltanto le banche che hanno emesso le carte di credito, di debito e prepagate possono autorizzare i pagamenti.
- American Express e Discover sono sia circuiti di pagamento sia emittenti di carte. Autorizzano i pagamenti effettuati con le proprie carte.
Queste reti di pagamento interconnettono milioni di esercenti, banche e consumatori e costituiscono la spina dorsale della loro attività. Contrariamente a quanto comunemente si ritiene, Visa e Mastercard non emettono carte di credito né concedono credito. Operano piuttosto come intermediari, o forse più propriamente come un sofisticato regolatore del traffico dell'ecosistema finanziario, garantendo l'elaborazione sicura e il regolare svolgimento delle transazioni monetarie tra banche ed esercenti in tutto il mondo.
Visa, Mastercard, American Express, Diners, Union Pay, Discover e altri circuiti definiscono inoltre standard per esercenti, facilitatori di pagamento e marketplace.
In sintesi, Visa, Mastercard, Diners, Union Pay, American Express, Discover, ecc. non detengono fondi in proprio, ma agiscono unicamente come canale per consentire a banche e altri istituti finanziari di agevolare le transazioni tra le parti.
Compensazione e regolamento
I sistemi di pagamento con carta a livello globale sono frequentemente fraintesi, spesso deliberatamente nel contesto di schemi fraudolenti. In realtà, i principali circuiti di carte operano attraverso infrastrutture altamente standardizzate, automatizzate e rigorosamente regolamentate. Il presente articolo spiega, in termini tecnici precisi, come funzionano i principali circuiti di carte e come avvengono effettivamente il clearing e il regolamento.
1. Il ruolo dei circuiti delle carte
I circuiti delle carte non detengono conti di clienti e non trasferiscono denaro direttamente a persone fisiche o società. La loro unica funzione consiste nel gestire sistemi sicuri di messaggistica, compensazione e regolamento tra istituzioni finanziarie regolamentate.
Ciascuna opera con una propria infrastruttura proprietaria, propri regolamenti, formati dei messaggi e cicli di regolamento. Le reti non sono intercambiabili e nessuna transazione transita mai simultaneamente attraverso più di una di esse.
2. Autorizzazione, compensazione e regolamento – Le tre fasi
Tutte le operazioni legittime con carta attraversano tre fasi distinte.
2.1 Autorizzazione
L'autorizzazione avviene quasi in tempo reale al momento dell'utilizzo della carta. La banca acquirer dell'esercente invia una richiesta di autorizzazione tramite il circuito della carta alla banca emittente. L'emittente approva o rifiuta in base ai fondi disponibili, ai controlli di rischio e allo stato della carta. In questa fase non avviene alcun movimento di denaro.
2.2 Compensazione
Il clearing è il processo mediante il quale le operazioni approvate vengono raggruppate, convalidate e preparate per il regolamento. Si tratta di un processo automatizzato, basato su file e disciplinato da schemi e scadenze rigorosi definiti dal circuito delle carte.
2.3 Regolamento
Il regolamento consiste nel trasferimento netto di fondi tra le banche aderenti. Il circuito delle carte calcola le obbligazioni nette e dispone il regolamento tramite banche di regolamento designate o conti presso la banca centrale. Il regolamento avviene esclusivamente tra banche, mai direttamente sul conto di un esercente o di un privato.
3. L'infrastruttura Visa in dettaglio
3.1 VisaNet
VisaNet è il sistema globale di elaborazione delle transazioni di Visa. Instrada i messaggi di autorizzazione, gestisce i dati di compensazione e calcola le posizioni di regolamento. Tutte le interazioni avvengono tra istituzioni finanziarie regolamentate.
3.2 Base II
Base II è il sistema di compensazione storico di Visa, ancora richiamato nella documentazione tecnica. Definisce le modalità di formattazione, validazione e scambio dei record delle transazioni. Gli esercenti e i clienti non interagiscono mai direttamente con Base II.
3.3 TC33 e TC05
- Il TC05 è il record standard di presentazione per un acquisto (la «sales draft»).
- Il TC33 è un record polivalente utilizzato, tra l'altro, per report e dati integrativi.
Si tratta di registrazioni interne di compensazione scambiate tra acquirer ed emittenti tramite VisaNet. Non costituiscono conferme di ricezione, approvazioni o conferme di regolamento e sono prive di significato al di fuori dell'ecosistema interno di Visa.
4. Infrastruttura Mastercard
4.1 Banknet
Mastercard gestisce Banknet, la propria rete globale proprietaria equivalente a VisaNet. Essa si occupa dell'instradamento delle autorizzazioni, dei file di compensazione e del calcolo del regolamento.
4.2 Compensazione e regolamento
Mastercard utilizza propri tipi di messaggio e formati di file. Il regolamento avviene su base netta tra le banche aderenti, attraverso conti di regolamento predefiniti. Come per Visa, non esiste alcun concetto di accettazione manuale né di regolamento per singola transazione sui conti dei clienti.
5. American Express e Diners Club
5.1 Modello a circuito chiuso
American Express e Diners Club operano storicamente con un modello a circuito chiuso, il che significa che spesso agiscono sia da emittente sia da acquirer. Ciò riduce gli intermediari ma non modifica i principi fondamentali.
5.2 Regolamento
Anche in un sistema a circuito chiuso, il regolamento è automatizzato, basato su regole ed effettuato a livello di istituzione. Non vi è alcun intervento manuale a livello di filiale, né un'«accettazione del file» che stabilisca se i fondi siano reali.
6. UnionPay
UnionPay gestisce il circuito di carte nazionale e internazionale cinese. Utilizza standard proprietari allineati ai quadri regolamentari cinesi. La compensazione e il regolamento avvengono tramite istituzioni di compensazione designate e meccanismi della banca centrale. Come per gli altri circuiti, le transazioni sono automatizzate, elaborate in batch e rigorosamente controllate.
7. Cicli di compensazione e regolamento
Il regolamento avviene secondo cicli predefiniti:
- Di norma T+1 o T+2 per Visa e Mastercard.
- Regolamento netto esclusivamente tra emittenti e acquirer.
- L'accredito finale agli esercenti avviene tramite la rispettiva banca acquirer, nel rispetto dei circuiti bancari locali quali ACH, SEPA o i sistemi RTGS nazionali.
Non esiste alcun meccanismo di regolamento ad hoc, immediato o discrezionale su richiesta di una parte privata.
8. Osservazione conclusiva
I circuiti di pagamento con carta figurano tra le infrastrutture finanziarie più mature e standardizzate esistenti. I loro processi sono deterministici, automatizzati e verificabili.
In che modo un terminale POS (Point of Sale) elabora i dati della Sua carta?
Un terminale point-of-sale (POS) è un dispositivo elettronico che elabora i pagamenti con carta presso i punti vendita al dettaglio. Di seguito una sintesi del funzionamento di base di un terminale POS:
- Lettura della carta: quando un cliente presenta una carta di credito o di debito per il pagamento, le informazioni della carta vengono lette dal terminale POS. Ciò può avvenire strisciando la banda magnetica, inserendo il chip nel terminale (per le carte EMV) oppure mediante metodi di pagamento contactless come NFC (Near Field Communication) per le app di pagamento da mobile.
- Dettagli della transazione: il terminale POS acquisisce quindi i dettagli della transazione, tra cui i dati della carta, l'importo dell'operazione e, talvolta, altre informazioni come l'identificativo dell'esercente.
- Comunicazione con l'acquirer: tali dati vengono quindi criptati e inviati, tramite linea telefonica o Internet, alla banca convenzionatrice dell'esercente, ovvero l'acquirer. L'acquirer è una banca o un istituto finanziario che elabora le transazioni con carte di credito e di debito per conto dell'esercente.
- Richiesta di autorizzazione: L'acquirer trasmette queste informazioni all'emittente della carta (la banca che ha emesso la carta del cliente) attraverso il circuito della carta (quale Visa, Mastercard, ecc.) per richiedere l'autorizzazione della transazione. Questa fase serve a verificare che la carta sia valida e che disponga di credito o fondi sufficienti. Questo MTI viene utilizzato quando il terminale POS di un esercente deve ottenere l'autorizzazione per un'operazione di pagamento secondo lo standard ISO 8583: 0100
- Risposta di autorizzazione: l'emittente della carta invia all'acquirer una risposta di autorizzazione, che approva o rifiuta la transazione. Tale risposta viene quindi trasmessa al terminale POS. Il corrispondente tipo di messaggio ISO 8583 per la risposta di autorizzazione è 0110.
- Perfezionamento dell'operazione: Se l'operazione è approvata, sul conto del cliente viene addebitato l'importo dell'acquisto e sul conto dell'esercente viene accreditato lo stesso importo, al netto delle commissioni applicate dall'acquirer e dal circuito delle carte. Se l'operazione è rifiutata, non viene trasferito alcun fondo.
Panoramica generale sull'elaborazione delle carte
- Quando un esercente accetta un pagamento con carta, il suo processore dei pagamenti invia una richiesta di autorizzazione, attraverso il circuito della carta, alla banca emittente, che valuta l'operazione. Nella fase di autorizzazione, l'emittente verifica che il titolare della carta disponga di fondi sufficienti o di un credito disponibile a copertura dell'importo richiesto per l'operazione.
- Se la transazione viene approvata, l'emittente riduce immediatamente il saldo o il credito disponibile sul conto associato alla carta, anche se i fondi non vengono trasferiti all'esercente immediatamente.
- Una volta autorizzato il pagamento, il processore dei pagamenti comunica l'approvazione all'acquirer e al terminale di pagamento dell'esercente, online o di persona.
- Al momento della fatturazione dell'ordine di vendita, l'importo della fattura viene addebitato sulla carta di credito (capture).
Perché le carte di credito sono preferibili
Nel preciso mondo della finanza internazionale, distinguere tra carte di debito e carte di credito è essenziale, in particolare per chi intraprende viaggi all'estero. Pur recando il logo Visa o Mastercard, molte delle carte oggi emesse dalle banche sono carte di debito e non vere carte di credito, e tale distinzione può incidere in modo significativo sull'esperienza del viaggiatore.
Le carte di debito, spesso fornite senza costi aggiuntivi con un conto corrente, non offrono la stessa flessibilità finanziaria delle carte di credito. Tale limite emerge con particolare evidenza in situazioni che richiedono un deposito cauzionale, quali il noleggio di un'auto o i servizi alberghieri all'estero: in questi casi le carte di debito possono essere del tutto rifiutate. Tali rifiuti possono comportare spese impreviste, poiché le soluzioni alternative implicano di norma costi più elevati e addebiti immediati sul conto.
D'altro canto, le vere carte di credito differiscono gli addebiti e comportano spesso un massimale di spesa prestabilito, offrendo un margine particolarmente utile nella gestione delle spese di viaggio. Tali carte agevolano le operazioni consentendo preautorizzazioni sui fondi: una caratteristica fondamentale in molte situazioni di viaggio, dal noleggio di auto ai soggiorni in albergo, che assicura la prenotazione e la garanzia dei servizi senza pregiudizio finanziario immediato.
Per chi viaggia, soprattutto al di fuori dell'Eurozona, disporre di una vera carta di credito non è soltanto una comodità, ma una necessità. Essa garantisce operazioni finanziarie più agevoli ed evita le insidie e le penali connesse all'uso delle carte di debito. Il viaggiatore avveduto è pertanto invitato a dotarsi di una vera carta di credito e a comunicare preventivamente al proprio emittente i piani di viaggio internazionali, onde evitare blocchi temporanei dovuti a sospetti di frode. Tale approccio proattivo consente di viaggiare in modo fluido e finanziariamente sicuro.
Protocolli e processi
Quando avviene una transazione con carta di credito, vengono utilizzati diversi protocolli e processi per verificare l'importo da addebitare e autorizzare la transazione.
Alcuni dei principali componenti coinvolti nel processo sono:
- ISO 8583: standard di messaggistica utilizzato dalla maggior parte delle reti di pagamento, come Visa e Mastercard, per comunicare i dettagli delle transazioni tra i diversi soggetti coinvolti nel processo (ad esempio esercenti, acquirer, emittenti e processori dei pagamenti).
- EMV (Europay, Mastercard, Visa): standard globale per le transazioni con carte di credito e di debito dotate di chip. Le carte EMV integrano un microprocessore che offre una sicurezza superiore, criptando i dati della transazione e generando codici di autenticazione univoci per ciascuna operazione. La conformità EMV è importante per ridurre le frodi con carta presente.
- PCI DSS (Payment Card Industry Data Security Standard): insieme di standard di sicurezza concepiti per proteggere i dati dei titolari di carte e garantire il trattamento, la conservazione e la trasmissione sicuri delle informazioni relative alle carte. Tutti gli esercenti, i processori di pagamento e gli altri soggetti che trattano dati di carte devono rispettare i requisiti del PCI DSS.
Questi protocolli e standard operano congiuntamente per assicurare che le operazioni con carta di credito siano sicure e che l'importo corretto sia addebitato sul conto del titolare della carta. I processi connessi a un'operazione con carta di credito sono piuttosto complessi e coinvolgono più parti e più livelli di comunicazione.
Procedura
Di seguito una spiegazione dettagliata di come questi protocolli e standard operano congiuntamente:
- Avvio: Il titolare della carta avvia una transazione strisciando, inserendo o avvicinando la carta a un terminale POS, oppure inserendo i dati della carta per una transazione online.
- Trasmissione dei dati: Il terminale POS o il gateway di e-commerce acquisisce i dettagli della transazione, tra cui il numero della carta, la data di scadenza, l'importo della transazione e un identificativo univoco della transazione. Per le transazioni EMV, il chip genera un crittogramma univoco per ciascuna transazione.
- Tokenizzazione (facoltativa): se la tokenizzazione è attivata, i dati della carta sono sostituiti da un token univoco prima della trasmissione. Ciò contribuisce a proteggere le informazioni sensibili della carta durante il processo di transazione.
- Richiesta di autorizzazione: i dati dell'operazione vengono formattati secondo lo standard di messaggistica ISO 8583 e inviati dalla banca acquirer dell'esercente (o dal processore dei pagamenti) al circuito delle carte (ad es. Visa o Mastercard).
- Instradamento sul circuito delle carte: il circuito delle carte individua la banca emittente responsabile della carta e inoltra a quest'ultima la richiesta di autorizzazione.
- Elaborazione da parte dell'emittente: la banca emittente verifica i dettagli dell'operazione rispetto al conto del titolare della carta, controllando il saldo disponibile, lo stato della carta e le eventuali regole antifrode applicabili. Per le operazioni online che utilizzano 3D Secure, l'emittente può inoltre richiedere al titolare di autenticare l'operazione tramite password o dati biometrici.
- Risposta di autorizzazione: la banca emittente genera una risposta di autorizzazione, che può approvare o rifiutare l'operazione. Tale risposta viene inviata attraverso il circuito della carta alla banca acquirer (o al processore dei pagamenti) e quindi all'esercente.
- Completamento: se l'operazione è approvata, l'esercente conclude la vendita e fornisce i beni o i servizi al titolare della carta. I dettagli dell'operazione sono quindi inclusi in un lotto di operazioni che l'esercente trasmette alla banca acquirer (o al processor dei pagamenti) per il regolamento.
- Regolamento: La banca acquirer (o il processore di pagamenti) trasmette il lotto di transazioni al circuito di carte per il regolamento. Il circuito calcola gli importi netti da regolare tra la banca acquirer e la banca emittente, e i fondi vengono trasferiti di conseguenza. Infine, la banca emittente registra la transazione sul conto del titolare della carta, che riceve un estratto conto con i dettagli della transazione.
Nel corso dell'intero processo, le varie parti coinvolte sono tenute a rispettare i requisiti PCI DSS per garantire il trattamento sicuro dei dati dei titolari di carta. Inoltre, la comunicazione tra i soggetti coinvolti è cifrata al fine di preservare la riservatezza e l'integrità dei dati della transazione.
Sicurezza delle carte di credito e di debito
Le carte di credito e di debito sono protette da una combinazione di caratteristiche di sicurezza fisiche e digitali.
Protocolli e processi
Quando avviene una transazione con carta di credito, vengono utilizzati diversi protocolli e processi per verificare l'importo da addebitare e autorizzare la transazione.
Alcuni dei principali componenti coinvolti nel processo sono:
- ISO 8583: standard di messaggistica utilizzato dalla maggior parte delle reti di pagamento, come Visa e Mastercard, per comunicare i dettagli delle transazioni tra i diversi soggetti coinvolti nel processo (ad esempio esercenti, acquirer, emittenti e processori dei pagamenti).
- EMV (Europay, Mastercard, Visa): standard globale per le transazioni con carte di credito e di debito dotate di chip. Le carte EMV integrano un microprocessore che offre una sicurezza superiore, criptando i dati della transazione e generando codici di autenticazione univoci per ciascuna operazione. La conformità EMV è importante per ridurre le frodi con carta presente.
- PCI DSS (Payment Card Industry Data Security Standard): Insieme di standard di sicurezza concepiti per proteggere i dati dei titolari di carte e garantire l'elaborazione, la conservazione e la trasmissione sicure delle informazioni relative alle carte. Tutti gli esercenti, i processori di pagamento e gli altri soggetti che trattano dati di carte devono rispettare i requisiti PCI DSS.
Questi protocolli e standard operano congiuntamente per garantire la sicurezza delle operazioni con carta di credito e l'addebito dell'importo corretto sul conto del titolare della carta.
Sicurezza fisica della carta
Sulla carta sono stampati il nome dell'utente, il numero della carta, la data di scadenza e il valore di verifica della carta (CVV). Il CVV è un numero di tre o quattro cifre, a seconda della banca emittente, che offre un ulteriore livello di sicurezza durante le transazioni.
Card Verification Value (CVV): Il numero di 3 o 4 cifre è stampato sulla carta fisica ma non è memorizzato nella banda magnetica. Viene spesso richiesto per le transazioni online e telefoniche, in cui la carta non è fisicamente presente. Serve a verificare che la persona che effettua la transazione sia in possesso della carta fisica.
Sulla carta sono presenti anche una banda magnetica e/o un chip integrato. La banda magnetica contiene i dati codificati del titolare della carta, mentre il chip integrato (utilizzato nelle carte chip e PIN e chip e firma) conserva le informazioni in formato sicuro e crittografato, rendendo difficile l'accesso o la contraffazione da parte di soggetti non autorizzati.
Sicurezza digitale della carta
Dal lato del prestatore di servizi, vengono impiegati diversi livelli di sicurezza a protezione da attività fraudolente. Ciò comprende i protocolli Secure Socket Layer (SSL) e Transport Layer Security (TLS), che cifrano i dati durante la trasmissione. Possono inoltre essere utilizzati sistemi di rilevamento delle frodi che si avvalgono di algoritmi di machine learning per individuare schemi comportamentali anomali indicativi di attività fraudolente.
- Address Verification Service (AVS): questo servizio confronta l'indirizzo fornito dal cliente con quello registrato presso la società emittente della carta di credito. In caso di mancata corrispondenza, l'operazione può essere rifiutata. Ciò contribuisce a prevenire le frodi derivanti dall'uso di numeri di carte di credito rubati.
- Autenticazione a due fattori (2FA): la 2FA richiede due tipi di identificazione prima che un'operazione possa essere approvata. In genere, questi due fattori consistono in qualcosa che si conosce (come una password), qualcosa che si possiede (come il telefono su cui ricevere una password monouso) o qualcosa che si è (come l'impronta digitale).
- Autenticazione biometrica: questo tipo di autenticazione utilizza caratteristiche biologiche uniche, quali le impronte digitali o il riconoscimento facciale, per verificare l'identità. Alcuni sistemi di pagamento mobile, come Apple Pay e Google Pay, utilizzano l'autenticazione biometrica per autorizzare le transazioni.
- Autenticazione basata sul rischio (RBA): questo metodo calcola il profilo di rischio di una transazione online e richiede una verifica aggiuntiva per le transazioni a più alto rischio. La RBA può considerare fattori quali l'indirizzo IP dell'utente, il dispositivo utilizzato, l'importo della transazione e i modelli comportamentali dell'utente.
- Tokenizzazione: La tokenizzazione protegge i dati della carta sostituendo il numero della carta con una stringa di caratteri generata casualmente, o «token». Tale token può essere trasmesso in sicurezza via internet ed è inutilizzabile se intercettato da frodatori, poiché non è possibile risalire al numero originale della carta.
- Pagamenti contactless: Molte carte supportano oggi anche i pagamenti contactless, che utilizzano la Near Field Communication (NFC) o la Radio Frequency Identification (RFID) per comunicare con i terminali di pagamento. Tali transazioni sono protette da crittografia dinamica: per ogni transazione viene generata una nuova chiave di cifratura, il che rende estremamente difficile per i malintenzionati intercettare e utilizzare impropriamente i dati.
- Autenticazione 3-D Secure (3DS) (ad es. Visa Secure, Mastercard Identity Check): 3-D Secure è un protocollo basato su XML, concepito come ulteriore livello di sicurezza per le transazioni online con carte di credito e di debito. Il protocollo è noto con denominazioni diverse a seconda del tipo di carta: Visa Secure (già Verified by Visa), Mastercard Identity Check (già SecureCode), American Express SafeKey e così via. Come funziona: 3-D Secure aggiunge una fase ulteriore al processo di pagamento online. Al momento dell'acquisto, dopo l'inserimento dei dati della carta, il sistema 3DS verifica se la banca o l'emittente della carta aderisce a 3DS. In caso affermativo, nel browser compare una finestra pop-up collegata direttamente alla banca o all'emittente. Le verrà quindi richiesto di verificare la Sua identità: ciò può avvenire tramite una password, una scansione dell'impronta digitale, qualora la Sua banca offra l'autenticazione biometrica, oppure un codice monouso inviato al Suo telefono cellulare. La transazione procede solo dopo il buon esito dell'autenticazione. 3-D Secure 2.0: È la versione più recente di 3-D Secure, che migliora il sistema originario rendendolo più semplice da utilizzare e più efficiente. 3DS 2.0 è concepito secondo un approccio basato sul rischio, ossia richiede un'autenticazione aggiuntiva soltanto quando una transazione appare rischiosa. Funziona inoltre in modo fluido sui dispositivi mobili, il che costituiva un limite del sistema 3DS originario.
PIN a 4 o 6 cifre
In genere i PIN sono codici di 4 cifre, ma in alcune regioni o presso alcuni istituti finanziari possono essere utilizzati anche PIN di 6 cifre. Lo scopo principale del PIN è verificare che la persona che dispone l'operazione sia il titolare autorizzato della carta.
Nel contesto di una transazione con carta di credito, al cliente può essere richiesto di digitare il proprio PIN quando utilizza una carta chip-and-PIN presso un terminale POS. Ciò è prassi consolidata in Europa. Negli Stati Uniti la maggior parte delle carte di credito con chip non richiede il PIN per gli acquisti e i principali circuiti hanno abolito l'obbligo di firma nel 2018.
Ecco come viene utilizzato un PIN, di 4 o di 6 cifre, in una transazione:
- Il cliente inserisce la propria carta con chip e PIN nel terminale POS.
- Il terminale richiede al cliente di inserire il proprio PIN.
- Il cliente digita il proprio PIN, che viene poi crittografato dal terminale POS.
- Il PIN cifrato viene inviato, insieme ai dati della transazione, alla banca emittente per la verifica.
- La banca emittente confronta il PIN cifrato con quello registrato nel proprio sistema. Se i PIN corrispondono, la transazione viene autorizzata.
In alcuni casi il PIN viene verificato localmente dal chip della carta anziché essere trasmesso all'emittente. Tale procedura è nota come verifica Offline del PIN e può velocizzare il processo di transazione.
È importante precisare che il PIN non coincide con il Card Verification Value (CVV) o Card Verification Code (CVC) di 3 o 4 cifre riportato sul retro della carta. I codici CVV/CVC sono utilizzati per le operazioni a distanza, come gli acquisti online, al fine di verificare che chi effettua l'operazione abbia il possesso fisico della carta.
Tap to Pay
Fondamento tecnologico: l'NFC e la sua origine nella RFID
Elemento centrale dello schema tap-to-pay è la Near Field Communication (NFC), una tecnologia che affina e specializza il più ampio quadro della Radio Frequency Identification (RFID). L'NFC opera mediante induzione elettromagnetica tra due antenne a spira, progettate in una configurazione che richiama una pista da corsa, poste a una distanza non superiore a quattro centimetri. Questa limitata prossimità spaziale favorisce uno scambio di dati sicuro e rapido, concepito su misura per le esigenze delle operazioni di pagamento.
Simbiosi passiva e attiva
L'interazione transazionale tra lo strumento di pagamento (carta o dispositivo abilitato NFC) e il lettore si fonda su una distinzione di ruoli: il lettore, quale soggetto attivo che avvia la comunicazione, dotato della capacità di stabilirla autonomamente; la carta, quale soggetto passivo che risponde, privo di alimentazione propria ma reattivo alle sollecitazioni del lettore. Tale interazione determina la trasmissione dei dati di pagamento, un processo che si discosta in modo sostanziale dalla trasmissione di dati statici propria delle operazioni con banda magnetica.
Presìdi crittografici: la sicurezza per eccellenza
Un cardine dell'architettura di sicurezza della tecnologia tap-to-pay è la generazione di un crittogramma specifico per ciascuna transazione. Tale crittogramma deriva da una combinazione crittografica dei dati della transazione e delle informazioni della carta, realizzata sotto la protezione di una chiave crittografica custodita nel chip della carta. Questo processo erige una solida barriera contro la replicazione delle credenziali di pagamento a fini illeciti, innalzando in misura sostanziale il livello di sicurezza di ogni transazione.
La comunicazione tra la scheda di pagamento e la scheda principale all'interno del lettore è determinante per l'assemblaggio dei dati della transazione in un pacchetto cifrato e protetto. Tale cifratura, mantenuta per l'intero percorso dei dati da e verso i processori e le reti di pagamento, costituisce un presidio contro le intrusioni e gli accessi non autorizzati ai dati, preservando la riservatezza della transazione dall'avvio alla conclusione.
Analisi comparativa della sicurezza e traiettorie di adozione
Rispetto ai suoi predecessori, le modalità a banda magnetica e a inserimento del chip, la tecnologia tap-to-pay rappresenta un salto di qualità in termini di sicurezza transazionale. La crittografia dinamica e i protocolli di comunicazione a corto raggio riducono intrinsecamente le possibilità di compromissione dei dati, contrastando efficacemente la minaccia dello skimming e dell'esfiltrazione non autorizzata di dati che ha storicamente afflitto le transazioni presso i punti vendita.
In alcuni mercati, in particolare negli Stati Uniti, l'adozione è rimasta per anni indietro rispetto all'Europa a causa dei costi infrastrutturali e delle abitudini dei consumatori, ma dal 2020 è cresciuta in modo marcato.
In sintesi, la tecnologia tap-to-pay, grazie alla sofisticata combinazione di tecnologia NFC, rigore crittografico e trasmissione cifrata dei dati, segna un cambio di paradigma nel campo dei metodi di pagamento sicuri ed efficienti. La sua progressiva integrazione nelle transazioni quotidiane promette di innalzare lo standard di sicurezza e comodità delle operazioni, segnando una netta evoluzione nei settori del commercio e dei pagamenti.
Come funziona la riserva di fondi o il pagamento differito in un'operazione con carta di credito, di debito o prepagata
Autorizzazione
La transazione ha inizio con una richiesta di autorizzazione. Quando presenta la Sua carta di credito per il pagamento, l'esercente invia una richiesta alla banca acquirer.
La banca acquirer inoltra la richiesta al circuito della carta, che a sua volta la trasmette alla banca emittente. La banca emittente verifica il credito disponibile e gli altri dettagli della transazione per accertarne la validità. Se tutto risulta regolare, essa riserva l'importo della transazione a valere sul Suo limite di credito. Tale operazione è nota come blocco di autorizzazione o preautorizzazione. Si tratta di un meccanismo volto ad accertare la disponibilità dei fondi e ad accantonarli per la specifica transazione.
Generazione del codice di autorizzazione
Quando un cliente presenta una carta di credito per il pagamento, il sistema del punto vendita (POS) dell'esercente invia una richiesta di autorizzazione alla banca acquirer. La banca acquirer inoltra la richiesta al circuito di pagamento, che a sua volta la instrada alla banca emittente. Se la banca emittente approva l'operazione (ad esempio, in presenza di credito o fondi sufficienti e se la carta non risulta smarrita o rubata), genera un codice di autorizzazione e lo trasmette, tramite il circuito e la banca acquirer, al sistema POS dell'esercente.
La lunghezza dei codici di autorizzazione, detti anche codici di approvazione, può variare a seconda del circuito di carte o della banca emittente. Tali codici attestano l'avvenuta approvazione di un'operazione e fungono da riferimento nel processo di regolamento. La lunghezza e il formato del codice di autorizzazione possono essere stabiliti in base alle esigenze operative dei circuiti di carte e delle banche coinvolte. Alcuni sistemi utilizzano codici di 6 cifre, altri codici di 8 cifre o di lunghezza diversa.
Acquisizione della transazione
L'esercente riceve il codice di autorizzazione, che conferma che i fondi sono disponibili e riservati per questa transazione. A fine giornata, o talvolta più tardi a seconda del processo dell'esercente, questi invia un lotto di transazioni alla banca acquirer per il regolamento. Tale processo è noto come «capture». Durante la fase di capture, l'esercente include il codice di autorizzazione di ciascuna transazione, che costituisce prova dell'avvenuta autorizzazione e consente alla banca acquirer di abbinare ogni transazione alla relativa autorizzazione.
Regolamento
La banca acquirer trasmette quindi le transazioni, unitamente ai codici di autorizzazione, ai circuiti di pagamento con carta ai fini del regolamento. I circuiti instradano le transazioni alle banche emittenti, le quali trasferiscono alla banca acquirer i fondi relativi alle transazioni approvate. Infine, la banca acquirer accredita i fondi sul conto bancario dell'esercente.
Compensazione
A fine giornata lavorativa l'esercente invia alla banca acquirer, in un unico lotto, tutte le transazioni autorizzate nel corso della giornata. La banca acquirer trasmette quindi tali transazioni, attraverso il circuito delle carte, alla banca emittente ai fini del regolamento.
La banca emittente trasferisce i fondi alla banca acquirer, che li accredita sul conto dell'esercente. A questo punto la transazione è conclusa e i fondi riservati sono formalmente trasferiti dalla Sua linea di credito all'esercente.
Conservazione dei documenti
Il codice di autorizzazione è un'informazione essenziale ai fini della conservazione dei dati e della risoluzione delle controversie. In caso di contestazione, il codice di autorizzazione consente di ripercorrere l'operazione attraverso le varie fasi della catena di elaborazione per verificarne la validità. Tale procedura garantisce che i fondi siano correttamente riservati, trasferiti e registrati, offrendo un metodo sicuro e tracciabile per la gestione delle operazioni con carta di credito.
Fatturazione
La banca emittente riporterà quindi l'operazione nell'estratto conto mensile, momento in cui Lei è tenuto al pagamento.
Comunicazione dei dati
Ecco una sintesi delle modalità con cui avviene la comunicazione:
- Acquisizione dei dati: Quando un titolare di carta avvia una transazione, il terminale POS acquisisce le informazioni della carta (numero della carta, data di scadenza, CVV, ecc.) tramite lettura della banda magnetica, inserimento, avvicinamento (contactless) o digitazione manuale dei dati della carta.
- Trasmissione sicura: i dati della carta acquisiti vengono trasmessi in modo sicuro dal terminale POS alla banca acquirer o al processore di pagamenti dell'esercente. Tale trasmissione utilizza tipicamente il protocollo TLS (Transport Layer Security), che cifra i dati per garantirne la riservatezza e l'integrità durante il transito.
- Messaggistica ISO 8583: la banca acquirer o il processore di pagamenti struttura i dati della transazione secondo lo standard di messaggistica ISO 8583. Tale standard definisce la struttura e il contenuto dei messaggi scambiati tra i diversi soggetti coinvolti nel processo transazionale, quali esercenti, acquirer, emittenti e circuiti delle carte.
- Comunicazione con le reti di carte: la banca acquirer o il processore di pagamenti trasmette la richiesta di autorizzazione in formato ISO 8583 alla rete di carte (ad es. Visa, Mastercard) tramite canali di comunicazione dedicati. Tali canali sono in genere reti private che collegano in modo sicuro le diverse parti coinvolte nel processo di transazione.
- Instradamento attraverso il circuito delle carte: il circuito delle carte individua la banca emittente responsabile della carta e le inoltra la richiesta di autorizzazione. Il circuito può avvalersi di ulteriori protocolli e tecnologie di comunicazione, quali TCP/IP e VPN (Virtual Private Network), per garantire una trasmissione sicura e affidabile dei dati dell'operazione.
Lungo l'intero processo di comunicazione vengono impiegati molteplici livelli di sicurezza, tra cui crittografia, protocolli sicuri e il rispetto di standard di settore quali PCI DSS. Ciò garantisce la riservatezza, l'integrità e la disponibilità dei dati della transazione durante il percorso dal terminale POS all'instradamento verso il circuito delle carte e oltre.
Protocolli
ISO 8583
ISO 8583 è uno standard di messaggistica utilizzato per la comunicazione delle transazioni finanziarie, in particolare per le transazioni con carte di pagamento. Definisce il formato dei messaggi, gli elementi di dati e i codici di elaborazione necessari per lo scambio di informazioni sulle transazioni tra i diversi soggetti, quali esercenti, acquirer, emittenti e circuiti di carte.
Una richiesta di autorizzazione in formato ISO 8583 contiene vari elementi di dati organizzati in un messaggio strutturato. Il messaggio è composto da un Message Type Identifier (MTI), da bitmap e da elementi di dati.
Di seguito un esempio semplificato di messaggio di richiesta di autorizzazione ISO 8583:
- Message Type Identifier (MTI): codice numerico di 4 cifre che indica la finalità del messaggio. Una richiesta di autorizzazione è «0100»; la risposta è «0110».
- Bitmap: Una sequenza di bit (di norma 64 bit, talvolta 128 bit) che indica quali Data Element sono presenti nel messaggio. Ciascun bit della bitmap corrisponde a uno specifico data element.
- Elementi di dati: Le informazioni effettive della transazione, organizzate in campi numerati da 1 a 128. Ogni elemento di dati ha un significato e un formato specifici, ad esempio numerico, alfanumerico o binario.
Elementi di dati
Ecco un esempio di alcuni Data Element comuni in una richiesta di autorizzazione ISO 8583:
- DE 2: Primary Account Number (PAN) – Il numero della carta utilizzato per la transazione.
- DE 3: Processing Code – Codice di 6 cifre che specifica il tipo di operazione (ad es. acquisto, rimborso) e il conto da utilizzare (ad es. conto corrente, carta di credito).
- DE 4: Importo della transazione – L'importo della transazione, in genere rappresentato come valore numerico a 12 cifre con separatore decimale implicito.
- DE 7: Data e ora di trasmissione – La data e l'ora in cui la transazione è stata avviata, di norma nel formato AAMMGGhhmmss.
- DE 11: System Trace Audit Number (STAN) – Identificativo univoco della transazione generato dal terminale o dal sistema di pagamento.
- DE 22: Point of Service Entry Mode – codice che indica le modalità di acquisizione dei dati della carta (ad esempio, strisciata, lettura del chip, inserimento manuale).
- DE 25: Point of Service Condition Code – Codice che indica specifiche condizioni relative alla transazione (ad es. cliente presente, e-commerce).
- DE 41: Card Acceptor Terminal Identification – Identificativo univoco del terminale POS.
- DE 42: Card Acceptor Identification Code – Identificativo univoco dell'esercente o dell'accettante della carta.
- DE 49: Codice valuta, transazione – Codice a 3 cifre che rappresenta la valuta utilizzata per la transazione.
Nell'ambito dello standard di messaggistica finanziaria ISO 8583, il termine «MTI» sta per Message Type Identifier. Si tratta di un codice numerico di 4 cifre che indica la finalità del messaggio ed è il primo campo di un messaggio ISO 8583.
MTI / Protocolli
L'MTI è composto da 4 posizioni (ciascuna con un intervallo di valori da 0 a 9) con i seguenti significati:
- Versione (prima posizione): indica la versione ISO 8583 utilizzata per il messaggio.
- 0: ISO 8583:1987
- 1: ISO 8583:1993
- 2: ISO 8583:2003
- 3-9: riservati per usi futuri o versioni personalizzate
- Classe (seconda posizione): rappresenta la finalità principale del messaggio.
- 0: Riservato all'uso ISO
- 1: Autorizzazione
- 2: Operazioni finanziarie (ad es. prelievo di contante, richiesta di saldo)
- 3: Azioni sui file (ad es. aggiornamenti dei file)
- 4: Storno e chargeback
- 5: Riconciliazione
- 6: Amministrativo
- 7: Riscossione delle commissioni
- 8: Gestione della rete
- 9: Riservato all'uso ISO
- Funzione (terza posizione): indica la funzione specifica del messaggio.
- 0: Richiesta
- 1: Richiesta di risposta
- 2: Consulenza
- 3: Risposta all'avviso
- 4: Notifica
- 5: Conferma di ricezione della notifica
- 6-9: Riservati all'uso ISO
- Origine (quarta posizione): indica l'iniziatore del messaggio.
- 0: Acquirer
- 1: Ripetizione da parte dell'acquirer
- 2: Emittente
- 3: Ripetizione dell'emittente
- 4-9: riservati all'uso ISO
Alcuni esempi di MTI nei messaggi ISO 8583:
- 0100: Richiesta di autorizzazione
- 0110: Risposta di autorizzazione
- 0200: Richiesta di transazione finanziaria
- 0210: risposta a transazione finanziaria
- 0420: Richiesta di storno
- 0421: Ripetizione della richiesta di storno
- 0430: Risposta di storno
- 0500: Richiesta di riconciliazione dell'acquirer
- 0510: Risposta di riconciliazione dell'acquirer
- 0800: richiesta di gestione della rete
- 0810: risposta di gestione della rete
Si noti che questi esempi si basano sui tipi di messaggio standard ISO 8583. Possono tuttavia esistere implementazioni e personalizzazioni individuali in funzione dei requisiti specifici dei diversi sistemi di pagamento o istituti finanziari.
Passo successivo
Richieda una presentazione
Ci indichi in poche righe chi è e che cosa ha in mente. La Sua richiesta giunge direttamente alla Banca e viene trattata in modo riservato.
Preferisce parlarne direttamente? Prenoti una videoconferenza di 30 minuti.