Malentendidos sobre cómo funciona Apple Pay

Billeteras digitales y el mito de que "solo Apple Pay hace esto"

• Apple Pay es excelente, pero parece haber malentendidos sobre cómo funciona.
• Los pagos a través de Apple Pay ocultan el número real de la tarjeta de crédito, lo que evita que los comercios rastreen al cliente.
• Se explica la diferencia entre DPAN y FPAN. El FPAN es el número impreso en la tarjeta real, y el DPAN es un número único asignado al dispositivo.
• El DPAN es parecido a un registro DNS, y cada vez que se usa Apple Pay se genera un DPAN diferente.
• El DPAN no es una función exclusiva de Apple Pay, sino una función estándar de todas las billeteras digitales. Google Pay y Samsung Pay también ofrecen la misma función.
• Los botones de Amazon Pay y Shop Pay también ocultan el FPAN real a los comercios.
• Los bancos también usan DPAN a través de sus propias billeteras digitales para proteger el número real de la cuenta.

El problema del rastreo de clientes

• La afirmación de que el DPAN cambia en cada transacción no es cierta. En transacciones consecutivas con el mismo comercio, el DPAN es el mismo.
• El DPAN dificulta combinar datos de transacciones entre varios comercios para identificar tendencias de compra, pero no impide que un solo comercio rastree el historial de transacciones de un cliente.
• En caso de filtración de datos, el DPAN es más seguro para el cliente. Como solo funciona cuando se envía como parte de un paquete cifrado único para cada transacción, los hackers no pueden usarlo.

La privacidad en Apple Pay

• La idea de que Apple Pay oculta la información personal no es cierta.
• Se probó una transacción real de Apple Pay para revisar un reporte a nivel comercio. Al hacer la transacción, la dirección de facturación y la del hogar, el nombre completo y la dirección de correo electrónico se transmiten al comercio.
• El SDK de Apple Pay permite que el comercio elija qué información personal quiere obtener del cliente.
• Cuando aparece la tarjeta de pago de Apple Pay, toda la información de esa tarjeta se envía al comercio.

Conclusión

• Apple Pay es un gran método de pago y ha jugado un papel importante en popularizar las billeteras digitales.
• Lo que ofrece Apple Pay no es algo único dentro de la industria. El DPAN dificulta rastrear compras entre varios comercios y protege al cliente en caso de filtración de datos.
• Esperar que todo el mundo conozca cómo funcionan todas las billeteras digitales no es realista. Compartir esta información es útil.

Opinión de GN⁺

• Este artículo ayuda a despejar malentendidos comunes relacionados con las billeteras digitales. En particular, corrige la percepción equivocada de que Apple Pay tiene funciones que solo ella ofrece en la industria.
• El artículo contribuye a educar a los usuarios para que puedan usar las billeteras digitales de forma más segura, al explicar cómo tecnologías como el DPAN contribuyen a la protección de la privacidad del cliente.
• Desde una mirada crítica, el artículo subraya que las billeteras digitales no son una solución perfecta de privacidad. Por ejemplo, señala que no impiden que un solo comercio rastree el historial de transacciones del cliente.
• En la industria existen varias billeteras digitales que ofrecen funciones similares a Apple Pay. Por ejemplo, Google Pay y Samsung Pay brindan funciones parecidas para proteger la información de la tarjeta de crédito del usuario.
• Entre los aspectos a considerar al adoptar esta tecnología, es importante entender el nivel de privacidad del usuario y el nivel de seguridad que realmente ofrece. Uno de los beneficios de usar DPAN es que puede evitar que la información de la tarjeta de crédito del cliente quede expuesta directamente en caso de una filtración de datos.

[GN⁺]

Opiniones de Hacker News

• Hay una solicitud para explicar en modo ELI5 (como si se lo explicaras a un niño de 5 años) cómo funcionan Apple Pay y Google Pay. El usuario pensaba que estos servicios transmitían la información de la tarjeta de crédito al comercio o a la pasarela de pago, pero le da la impresión de que Apple/Google actúan como pasarela o método de pago. Se pregunta si recopilan todos los datos de las transacciones y si hace falta soporte especial en las terminales de pago para admitir Apple/Google Pay. Sin embargo, otros comentarios sostienen que Apple Pay está profundamente arraigado en los estándares. Se pregunta cuáles son los elementos propietarios de Apple y Google, y por qué es difícil reemplazar estas apps con alternativas de código abierto, o si se debe al acceso exclusivo de Apple/Google al chip NFC.
  • Cuando Apple Pay empezó a generalizarse, un usuario lo investigó a fondo basándose en su experiencia procesando pagos minoristas. En ese momento, le impresionó lo profundamente integrado que estaba Apple Pay en los estándares de la industria. No había absolutamente nada propio de Apple, ni siquiera en la tecnología de comunicación inalámbrica, y eso sigue siendo así hoy. Hubo casos en que algunos comercios tuvieron que modificar sus sistemas a propósito para no aceptar Apple Pay (CVS es el que más recuerda). Esto se debió a la intención de los comercios de diferenciar sistemas de pago competidores. Valora positivamente que el autor haya revisado de nuevo la situación reciente.*
  • En la discusión falta mencionar que las transacciones de billeteras digitales como Apple Pay son tan rastreables como las transacciones que usan números de tarjeta tradicionales. Aconsejan no esperar que los pagos con billeteras digitales ofrezcan más privacidad que los pagos con tarjeta o con número de tarjeta tradicionales.*
  • La publicación de Matt Birchler corrige la información errónea de que el DPAN (número de cuenta de pago por dispositivo) es distinto para cada comercio. Según la documentación oficial de Apple, el DPAN solo es único por dispositivo y no cambia a menos que se elimine y se vuelva a agregar la tarjeta. Por lo tanto, aunque no se puede rastrear el uso de la misma tarjeta entre dos dispositivos distintos (por ejemplo, un iPhone y un Apple Watch), sí puede ser rastreado por corredores de datos cuando se realizan transacciones con distintos comercios desde el mismo dispositivo.*
  • Se cuestiona que el SSO (inicio de sesión único) y los pagos móviles no sean interfaces estándar, y por qué existe "Iniciar sesión con Google" o "Iniciar sesión con Apple" en lugar de "Iniciar sesión con mi proveedor SSO predeterminado". También se señala que muchos proveedores o sitios solo admiten algunos de estos proveedores, por lo que el SSO en realidad no es verdaderamente SSO. Se espera que todos los proveedores deban seguir una especificación común y, si no ocurre, que en el futuro esos estándares terminen fijándose por ley.*
  • Se plantea que el comercio decide cuánta información personal recopilar durante un pago con Apple Pay, y que Apple Pay no impide que se solicite información al momento del checkout. También se pregunta si esto ocurre al comprar en tiendas físicas y si Apple/Google piden consentimiento para compartir información que claramente no es necesaria.*
  • Cuando Apple Pay se lanzó en Australia, los grandes bancos locales ya llevaban años impulsando el uso de pagos sin contacto. Cuando Apple llegó exigiendo comisiones al estilo estadounidense, toda la infraestructura ya había sido construida por los bancos. Los grandes bancos locales terminaron aceptando Apple Pay porque la presión de los clientes era demasiado fuerte. Los bancos siguen molestos por ello y, si el regulador obligara a abrir el chip NFC, dejarían de admitir Apple Pay de inmediato.*
  • Se cuestiona por qué Apple Pay no muestra en pantalla el monto a pagar antes de autorizar la transacción. Se especula que no es un problema de UX, sino que probablemente el dispositivo Apple no conoce el monto del pago.*
  • Hay una pregunta sobre en qué parte Gruber dijo que "solo Apple Pay hace esto". Quien escribe señala que Gruber cometió algunos errores o no entendió con precisión ciertos detalles.*
  • Se menciona que Apple hizo un gran trabajo popularizando billeteras digitales como esta, y que aunque Apple Pay era bastante único cuando se lanzó por primera vez, hoy ya no lo es dentro de la industria. También recuerdan que otros sistemas tempranos de pago con teléfono enviaban directamente el número de tarjeta a la máquina.*