Mi garantálja azt, hogy a szolgáltató nem fog többszörösen is bekérni fizetést a számlámról
Véleményem szerint semmi. Az egész kártyás fizetés bizalmi alapon működik. Pull, nem push. Olyan, mint a csoportos beszedési megbízás, csak éppen mindenkinek van ilyen "megbízása", aki valaha is megismeri a kártyaadataidat.
Az SCA (pl. 3-D Secure) sem téged véd (közvetlenül) a nevedben történő hamis fizetéstől, hanem a kereskedőt védi. Attól védi a kereskedőt, hogy te le tudd tagani a fizetési szándékot / személyes jóváhagyást. Ami téged véd az SCA-ban (közvetve), az az, hogy a kereskedő nem akar olyan helyzetbe kerülni, ahol sok vásárló panaszt tesz a nem általuk kezdeményezett fizetés miatt. (A Wise-nál mondjuk már van olyan megkötésre lehetőség a Card Controls-ban, hogy SCA nélküli fizetési kérelmeket azonnal elutasítson; az már a fizető felet is védi közvetlenül, ha jól értem.)
Mindenesetre az nem derült ki számomra, hogy a token tárolása és kiszivárgása ugyan miért lenne kisebb probléma, mint az eredeti kártyaszám kiszivárgása. Ha megnézed a diagramot itt:
https://en.wikipedia.org/wiki/Tokenization_(data_security)
akkor látszik, hogy egy ismétlődő fizetésre használt token ismétlődően egyenértékűen használható -- legalábbis ugyanabban a kontextusban -- az eredeti káryaszámmal. Az ellopott vagy kiszivárgott tokent a tokenszolgáltató ugyanúgy fel fogja oldani később is.
Hosszas keresgéléssel találtam egy cikket, amely egy kicsivel jobban részletekbe megy:
https://www.clearlypayments.com/blog/network-tokenization-vs-pci-tokeni…
Enhanced Security: Since the token is unique to each transaction and merchant, even if it gets stolen, it can’t be reused elsewhere.
Ez nyilván nem pontos; nem lehet pontos. Az rendben van, hogy ha a tokent korlátozzuk egy adott kereskedőre, akkor az ellopott / kiszivárgott tokennel történő visszaélés lehetőségét csökkentjük: máshol nem lehet azzal fizetni. Onnantól kezdve viszont, hogy a token csak egyetlen tranzakcióra jó, már nem lehet ismétlődő fizetésre (= előfizetésre) használni. Tehát én azt állítom, hogy ismétlődő fizetésre használt tokennel igenis vissza lehet élni, ha ellopják / kiszivárog. Nem teljesen általánosan, de az adott kontextusban semmi sem akadályoz meg egy "replay attack"-ot.