PCI MPoC (Mobile Payments on COTS) è lo standard di sicurezza del PCI SSC che permette di accettare pagamenti con carta — contactless e con inserimento del PIN — direttamente su un comune smartphone o tablet, senza hardware dedicato. Definisce obiettivi di sicurezza per il software, oltre all'attestazione e al monitoraggio continuo che rendono sicuro questo modello.
In pratica, MPoC è ciò che sostiene le soluzioni "Tap to Pay" e SoftPOS: un'applicazione installata su un dispositivo di consumo (COTS, commercial off-the-shelf) legge le carte tramite l'antenna NFC e cattura il PIN sullo schermo stesso. Poiché quel dispositivo non è stato progettato per essere un terminale sicuro, lo standard sposta la protezione dall'hardware verso una combinazione di software resistente agli attacchi, cifratura dei dati dell'account e un'infrastruttura di attestazione e monitoraggio che verifica, transazione per transazione, se l'ambiente è affidabile.
Cosa significa la sigla MPoC?
MPoC significa Mobile Payments on COTS — pagamenti mobili su dispositivi di consumo. "COTS" è qualsiasi apparecchio di consumo non modificato: un cellulare Android, un iPhone, un tablet. È questo il punto centrale dello standard: accettare dati di carta su un apparecchio che non ha superato una valutazione fisica di sicurezza, senza lettore esterno e, quando necessario, catturando il PIN sullo schermo touch.
Pubblicato dal PCI Security Standards Council nel 2022, MPoC è uno standard basato su obiettivi di sicurezza, non su un elenco chiuso di controlli obbligatori. Invece di imporre "fai esattamente X", definisce il risultato da raggiungere e lascia al fornitore il compito di dimostrare, con evidenza, che l'implementazione soddisfa quell'obiettivo. Questo dà flessibilità a diverse architetture — ma richiede una valutazione tecnica competente per provare l'equivalenza.
Qual è la differenza tra MPoC, SPoC e CPoC?
MPoC unifica ed estende due standard precedenti: SPoC, incentrato sull'inserimento del PIN, e CPoC, incentrato sulla lettura contactless. Prima di MPoC, un fornitore che volesse accettare contactless e PIN sullo stesso cellulare doveva conciliare due standard separati. MPoC unisce entrambi gli scenari in un unico framework modulare e consente anche transazioni di valore più elevato con verifica del PIN sullo schermo.
| Aspetto | SPoC | CPoC | MPoC |
|---|---|---|---|
| Sigla | Software-based PIN Entry on COTS | Contactless Payments on COTS | Mobile Payments on COTS |
| Inserimento del PIN sul cellulare | Sì, sullo schermo | No | Sì, sullo schermo (opzionale per modulo) |
| Lettura contactless (NFC) | No (richiede lettore SCRP esterno) | Sì, sull'antenna del COTS | Sì, sull'antenna del COTS |
| Lettore di carta esterno | Obbligatorio (SCRP) | No | No |
| Verifica del titolare (CVM) | PIN | Senza CVM / limitata | PIN sullo schermo del COTS (modulo PIN Entry on COTS); altri CVM secondo la carta/circuito |
| Struttura | Controlli prescrittivi | Controlli prescrittivi | Obiettivi di sicurezza, modulare |
| Situazione | Standard precedente, ancora vigente | Standard precedente, ancora vigente | Standard attuale e unificato |
La lettura della tabella è diretta: SPoC risolveva il PIN ma dipendeva da un lettore di carta sicuro collegato; CPoC risolveva il contactless ma senza PIN, il che limitava il valore delle transazioni; MPoC offre entrambi nella stessa applicazione e sostituisce la logica del "controllo prescrittivo" con una basata su obiettivi, consentendo architetture più varie purché la sicurezza sia comprovata.
Come protegge MPoC i dati senza hardware sicuro?
Lo standard protegge la transazione distribuendo la sicurezza su tre fronti che lavorano insieme, poiché nessuno di essi è affidabile isolatamente su un dispositivo di consumo. La fiducia non viene dall'apparecchio: viene dalla capacità del software di proteggersi, cifrare i dati ed essere verificato da remoto a ogni utilizzo.
I tre fronti sono:
- Software resistente agli attacchi. L'SDK e l'applicazione di pagamento sono costruiti con protezioni contro reverse engineering, manomissione, hooking e debugging. Lo standard tratta lo stesso ambiente di esecuzione come ostile.
- Protezione dei dati dell'account. Il numero della carta e il PIN vengono cifrati il più vicino possibile al punto di cattura e non restano mai esposti in chiaro nella memoria del dispositivo o in transito.
- Attestazione e monitoraggio continui. Un backend verifica, transazione per transazione, l'integrità dell'applicazione e del dispositivo — se ci sono segnali di root, emulazione, manomissione o ambiente compromesso — ed è in grado di bloccare o reagire in tempo reale.
MPoC organizza questi requisiti in moduli. Ci sono moduli per il nucleo della soluzione (CORE), per la protezione dell'SDK, per l'attestazione e il monitoraggio, per l'inserimento e l'elaborazione sicuri dei dati dell'account, per l'inserimento del PIN sul COTS, per le transazioni offline e per la gestione e l'integrazione del software. È questa modularità a permettere di valutare solo le parti rilevanti per ciascun tipo di prodotto.
Come funziona la valutazione di conformità?
La conformità a MPoC è attestata da un laboratorio riconosciuto dal PCI SSC, non da un'autovalutazione. Il fornitore non "si dichiara" conforme: sottopone la soluzione o il componente a un valutatore accreditato, che lo testa rispetto agli obiettivi di sicurezza ed emette un rapporto accettato dal Council.
Il flusso tipico prevede queste fasi:
- Ambito e classificazione. Si definisce cosa viene valutato — una soluzione MPoC completa o un componente/SDK — e quali moduli si applicano a quell'architettura.
- Preparazione ed evidenze. Il fornitore raccoglie la documentazione di progetto, l'analisi delle minacce, le decisioni di architettura e le evidenze che ciascun obiettivo di sicurezza è soddisfatto.
- Valutazione di laboratorio. Il laboratorio riconosciuto esegue l'analisi di sicurezza: revisione del progetto, test del software (inclusa la resistenza agli attacchi), validazione della cifratura e della logica di attestazione e monitoraggio.
- Inserimento in elenco. La soluzione o il componente approvato viene inserito nell'elenco pubblico dei prodotti validati del PCI SSC, dando visibilità ad acquirer e circuiti.
- Manutenzione continua. A differenza di un audit puntuale, MPoC presuppone attestazione e monitoraggio in esercizio e rivalidazione periodica; modifiche rilevanti al software richiedono una rivalutazione.
Un punto importante: poiché lo standard è basato su obiettivi, gran parte dello sforzo consiste nel dimostrare l'equivalenza — provare, con evidenza tecnica, che una scelta architetturale soddisfa l'obiettivo di sicurezza previsto. È qui che la qualità del lavoro di sicurezza svolto prima della sottomissione determina il tempo e il costo della valutazione.
Chi ha bisogno di PCI MPoC in Brasile?
Ha bisogno di MPoC chi sviluppa o fornisce software che trasforma un dispositivo di consumo in strumento di accettazione della carta. Nell'ecosistema brasiliano dei pagamenti, questo raggiunge un gruppo crescente di aziende man mano che il "Tap to Pay" si diffonde:
- Acquirer e sub-acquirer che offrono accettazione contactless sul cellulare stesso dell'esercente, senza POS fisico.
- Fintech e facilitatori di pagamento che integrano la funzione di incasso all'interno della propria applicazione.
- ISV e sviluppatori di SoftPOS che costruiscono l'SDK o l'app di pagamento venduta a terzi.
- Marketplace e piattaforme che vogliono che il venditore incassi di persona usando solo lo smartphone.
In Brasile, l'obbligo di MPoC arriva per due vie che si sommano. La prima è contrattuale e di circuito: Visa, Mastercard e gli altri circuiti richiedono la validazione PCI per abilitare le soluzioni di accettazione sul cellulare, e questo obbligo scende lungo la catena fino allo sviluppatore. La seconda è regolamentare: le istituzioni di pagamento e gli schemi di pagamento operano sotto la supervisione della Banca Centrale, e le risoluzioni di BACEN/CMN sulla sicurezza cibernetica — inclusa la 4.893 — impongono requisiti di gestione del rischio e di sicurezza che rendono l'adozione di standard riconosciuti come MPoC una parte naturale della governance. Chi tratta dati del titolare deve inoltre osservare la LGPD nel trattamento di tali informazioni.
Vale la distinzione: MPoC riguarda la soluzione di accettazione sul COTS. Non sostituisce la conformità al PCI DSS dell'ambiente che elabora, memorizza o trasmette i dati della carta nel backend — i due coesistono. Un'operazione matura combina la soluzione MPoC validata sul fronte con un ambiente PCI DSS conforme sul retro.
Come opera Berghem
Berghem supporta i fornitori di SoftPOS e le istituzioni di pagamento in tutte le fasi che precedono e sostengono la validazione MPoC: modellazione delle minacce dell'applicazione e dell'SDK, analisi di resistenza agli attacchi (reverse engineering, manomissione, hooking e root/jailbreak detection), revisione della cifratura dei dati dell'account e del PIN, e valutazione della logica di attestazione e monitoraggio. L'obiettivo è arrivare alla valutazione di laboratorio con le evidenze pronte e le lacune già corrette, accorciando il ciclo.
Questo lavoro si collega al resto del programma di sicurezza dei pagamenti: pentest mobile dell'applicazione, pentest di API delle integrazioni con il backend e sicurezza nei pagamenti dell'intera catena. Per chi deve anche organizzare l'ambiente di retro, l'adeguamento al PCI DSS procede in parallelo. Scopri l'approccio completo in preparazione a PCI MPoC e SoftPOS.
Domande frequenti
MPoC sostituisce il PCI DSS?
No. MPoC riguarda la soluzione che accetta il pagamento sul dispositivo di consumo; il PCI DSS riguarda l'ambiente che elabora, memorizza o trasmette i dati della carta nel backend. Sono standard complementari. Un'operazione SoftPOS matura mantiene la soluzione MPoC validata sul fronte e l'ambiente di retro conforme al PCI DSS.
Ho bisogno di MPoC se uso solo il contactless, senza PIN?
Dipende dal prodotto, ma MPoC è la strada attuale. È stato creato per unificare gli scenari prima coperti da SPoC (PIN) e CPoC (contactless) in un unico standard modulare. MPoC è lo standard più recente e completo; SPoC e CPoC restano pubblicati, ma le nuove soluzioni che combinano contactless e PIN tendono a essere valutate sotto MPoC, attivando solo i moduli applicabili.
Chi emette la validazione PCI MPoC?
La validazione è eseguita da un laboratorio riconosciuto dal PCI SSC, non da un'autovalutazione. Il valutatore testa la soluzione o il componente rispetto agli obiettivi di sicurezza dello standard e, una volta approvato, il prodotto viene inserito nell'elenco pubblico dei prodotti validati del PCI SSC, con attestazione e monitoraggio continui in esercizio.