En este caso, ¿es realmente más seguro el código + código de seguridad que solo un código más largo?

Los beneficios de dividir la información de identidad en dos partes es que el sistema puede tratarlos de manera ligeramente diferente. En esa situación, tiene una cadena que puede identificar a una persona (u otro registro) y una cadena que puede autenticar a la persona. El sistema puede limitar ciertas funciones o privilegios a las personas que pueden proporcionar la cadena de autenticación, mientras que también permite que la cadena de identidad se utilice en funciones menos riesgosas.

Cuando una cadena sirve tanto de identificación como de autenticación, no hay manera de evitar que alguien con un modo vea ese registro. No puede identificarse sin proporcionar también al sistema o la persona que recibe la información para hacerse pasar por usted. Pero si el único uso posible de la cadena de identidad es durante una transacción, como el canje de cupones, es posible que no sea necesario dividirla en dos códigos separados.

Tiene razón en que, en su situación, tener ambas cadenas en una sola hoja de papel no ofrece ninguna protección diferente si el papel cae en manos de la persona equivocada. Pero puede haber otras partes del sistema que protejan mejor su identidad, ya que pueden solicitar solo su código de canje sin exponer el código de seguridad. Por ejemplo, un empleado de la aerolínea puede confirmar que tiene un reclamo válido con solo el código de referencia y no tiene que preocuparse de que tomen su código de seguridad y usen el cupón.

No, la única diferencia está en cómo se usa. Por ejemplo, el código de canje se puede imprimir a lo largo de la compra, pero el código de seguridad no se imprime. O el backend espera tarjetas de 15 dígitos, y esos 4 dígitos se agregaron posteriormente en un campo diferente.