Il y a plusieurs raisons pour lesquelles Paypal (ou plus généralement tout service de paiement) peut savoir si vous avez utilisé votre carte à plusieurs endroits.
Votre carte de crédit est absolument suivie partout où cela est possible
Ma carte de crédit ne devrait-elle pas être stockée avec un hachage sous mon compte uniquement?
Si votre carte est hachée, elle peut être facilement comparée entre les comptes . Les hachages sont déterministes, donc pour un algorithme de hachage fixe, une carte de crédit donnée donnera toujours le même hachage. Par conséquent, s'ils stockaient des hachages, ils pourraient facilement comparer entre les comptes et déterminer si la carte était déjà stockée ailleurs. Cela peut être avantageux, car dans ce cas, il est utilisé pour prévenir la fraude (cela implique que si la même carte est ajoutée à plusieurs comptes, elle est probablement due à une fraude). Une fois que vous disposez d'un hachage "sécurisé" d'une carte de crédit, il n'y a aucune raison ne pas de le vérifier sur différents comptes. Paypal peut certainement le faire et le fait.
Cependant, cette capacité n'est pas limitée à Paypal et peut facilement être disponible pour des marchands beaucoup plus petits. Par exemple, avec Stripe (un mode de paiement commun conforme à la norme PCI), le commerçant recevra un identifiant unique pour chaque numéro de carte de crédit stocké sur Stripe. Le marchand ne conserve pas (ni ne voit) le numéro de carte, mais il peut toujours comparer le hachage donné avec d'autres hachages de carte qui ont été utilisés dans leurs systèmes. Cela peut (et est) facilement utilisé dans le but moins altruiste de suivre l'historique d'achat d'un utilisateur sur plusieurs comptes et transactions anonymes, tout en maintenant la conformité PCI.
Donc, pour être clair, votre carte de crédit est suivie absolument partout par autant de personnes que possible, même si elles ne connaissent pas elles-mêmes votre numéro de carte de crédit.
Paypal conserve votre numéro de carte de crédit réel dans ses fichiers - pas seulement un hachage
Les petits commerçants peuvent et doivent s'assurer de ne jamais stocker, transmettre ou même consulter les détails de la carte. Cependant, aucune exigence n'interdit à tout commerçant de conserver le numéro de carte réel s'il le souhaite. En général, tout commerçant qui souhaite conserver les numéros de carte dans ses fichiers et rester conforme à la norme PCI devra (théoriquement) passer par une validation plus stricte, un audit de sécurité et doit effectivement payer une tonne d'argent en frais. L'augmentation des coûts et de la responsabilité liés à la conservation des numéros de carte de crédit tout en restant conforme à la norme PCI est si grande que toute petite ou moyenne entreprise moyennement bien gérée n'essaiera jamais.
Cependant, les grandes entreprises peuvent et choisissent de faire autrement . La réalité est que quelqu'un doit stocker les numéros de carte quelque part pour que votre carte puisse être facturée. Les plus gros processeurs de cartes de crédit (ce que Paypal est certainement) stockent certainement le numéro de carte complet. Ils doivent stocker les numéros en utilisant un cryptage fort et des clés sécurisées / des procédures de contrôle d'accès.
Quant aux détails sur la façon dont ils déterminent réellement qu'un numéro de carte de crédit est utilisé deux fois, en fin de compte, seul Paypal peut y répondre. Ils peuvent avoir une méthode pour comparer directement les numéros de carte cryptés, mais il est plus probable qu'ils aussi stockent un hachage des numéros de carte et les comparent directement ( h / t Jory Geerts). Quoi qu'il en soit, ils conservent votre numéro de carte dans leurs fichiers et peuvent comparer les numéros de carte à ceux des comptes.
Notez que cela ne signifie pas qu'ils "conservent toutes les cartes enregistrées dans un seul gros fichier pour référence croisée". Leur infrastructure de stockage sécurisé des cartes est certainement beaucoup plus compliquée que cela. Cependant, ils ont manifestement un besoin commercial impérieux de pouvoir comparer les cartes entre les comptes et ont configuré leur infrastructure de manière à pouvoir à la fois stocker vos cartes en toute sécurité et également vérifier les doublons entre les comptes. Je suis d'accord avec le commentaire lié: je suppose qu'ils calculent également un hachage sécurisé du numéro de carte de crédit et l'utilisent pour des comparaisons faciles.