O registro de cartão mais seguro é o menor possível. Para a maioria das pessoas, o nome do emissor, o contato de suporte e os últimos quatro dígitos bastam para identificar um cartão e comunicar um problema. Guarde essas informações em um cofre criptografado, nunca armazene um PIN ou código de segurança e use o app do seu banco ou uma carteira de pagamentos para pagar de fato.
Quais dados do cartão faz sentido guardar?
O nome do emissor, o telefone de suporte, os últimos quatro dígitos e faturas com dados ocultos. Isso normalmente basta para identificar um cartão e comunicar o problema se ele sumir. Oculte os números desnecessários nas faturas antes de salvá-las.
O que você nunca deve armazenar?
O PIN. O código de segurança (CVV/CVC) junto com o número do cartão. Uma foto completa, sem dados ocultos, da frente e do verso juntos.
Pelo PCI DSS, os comerciantes são proibidos de reter códigos de verificação após a autorização. Um registro pessoal também não tem motivo para guardar um.
Por que uma foto do seu cartão é arriscada?
A frente e o verso juntos revelam o número completo, a validade e o código de segurança em uma única imagem. Na galeria de fotos, essa imagem tem a mesma exposição que qualquer outra foto: aparece quando você rola a tela, pode ser enviada por um backup automático de fotos, pode ser lida por apps com acesso à biblioteca de fotos e continua existindo em Apagados recentemente.
A criptografia protege um arquivo salvo; salvar menos reduz o que pode ser exposto.
Passo a passo: como guardar os dados do cartão com segurança?
1. Defina o menor registro que ainda seja útil.
2. Oculte os números nas faturas antes de importá-las.
3. Importe para uma pasta do cofre, por exemplo “Cartões”. O nome da pasta é criptografado.
4. Salve a chave de recuperação separadamente e mantenha um backup criptografado.
5. Apague as fotos e capturas de tela originais. Importar não as remove.
Qual é o papel do cofre e qual é o papel do seu banco?
Um cofre serve para registros. Seu banco ou sua carteira digital serve para pagamentos e proteção contra fraudes. O Revault não tokeniza cartões, não faz pagamentos nem substitui os controles antifraude do emissor.
O que devo fazer se perder o celular ou a carteira?
Entre em contato primeiro com o emissor do cartão. O número de suporte no seu cofre está lá justamente para isso. Em um novo dispositivo, restaure o cofre com sua chave de recuperação e sua cópia criptografada na nuvem ou seu backup. Se você acha que as chaves do cofre foram expostas, mova os registros para um novo cofre.
Como o Revault protege esses registros e o que ele não consegue fazer?
Os registros são criptografados no seu dispositivo antes de serem armazenados. O cofre tem uma chave mestra AES-GCM aleatória de 256 bits. Seu padrão e um segredo de dispositivo aleatório, processados com PBKDF2-HMAC-SHA-256 com 600,000 iterações, protegem essa chave. Arquivos, nomes de arquivos e miniaturas são todos criptografados. Os apps nativos para iOS e Android mantêm os cofres no dispositivo, a menos que você ative a sincronização privada com o iCloud ou o Google Drive, crie um compartilhamento ou exporte o cofre. O app web usa uma conta com chave de acesso e a nuvem do Revault.
O que ele não consegue esconder: o serviço pode ver que existe um objeto de determinado tamanho e quando ele foi armazenado. Um dispositivo comprometido pode ler um cofre desbloqueado. O Revault não passou por uma auditoria de segurança independente.
Dúvidas comuns
O Revault está em conformidade com o PCI? Ele é um cofre pessoal, não um processador de pagamentos, e não declara conformidade com o PCI.
Posso pagar com cartões salvos no Revault? Não. Use o app do seu banco ou uma carteira de pagamentos compatível.
É seguro guardar um CVV em um app de notas? Evite armazená-lo em qualquer lugar.