Что такое 3D Secure

Для улучшения уровня безопасности в процессе использования банковских карт платежные системы разрабатывают технологии, снижающие риски незаконного доступа к счетам клиентов. Компания VISA в этих целых разработала протокол 3D Secure — услугу, позволяющую кредитным организациям и магазинам подтверждать, что операцию совершает владелец карты, а не третье лицо.

При совершении платежей по картам VISA в интернете их владельцы подтверждают списание средств путем ввода разового смс-кода. СМС-сообщение приходит на номер, к которому привязана карта. Если числовая комбинация введена верно, банк-эквайер одобряет платеж.

Привычная держателям банковских карт процедура называется 3D Secure. Это улучшенный вариант Verified by Visa, который используется платежной системой VISA для обеспечения безопасности онлайн-платежей. Аналоги 3D Secure: Mastercard SecureCode (Mastercard), MirAccept (НСПК МИР), SafeKey (American Express).

3D в названии протокола означает работу одновременно нескольких доменов: эквайера, эмитента, совместимости. Первый домен — магазин и банк, куда уходят деньги. Второй — банк, выпустивший пластик. Третий — это Interoperability Domain, предоставляется платежной системой для обслуживания 3D Secure.

В магазинах и торговых точках при оплате с банковской карты вводится пин-код. Это правило снижает вероятность использования чужих карты. При покупках в интернете функцию пин-кода заменяет 3D Secure. Последовательность действий:

1. Пользователь оформляет покупку и переходит по ссылке оплаты.
2. После получения запроса банк отправляет на номер телефона одноразовый код — 4-8 случайных цифр.
3. Комбинация вводится в форму оплаты на официальном сайте магазина.

В течение нескольких секунд платеж обрабатывается банком, и сумма списывается со счета карты. Если вводится неправильный код, банк отказывает в проведении операции. В некоторых случаях при вводе ошибочного кода несколько раз подряд счет блокируется — по аналогии с использованием неправильного пин-кода.

В небольших и местных банках 3D Secure используется по принципу ввода многоразового кода. Постоянный код для онлайн-операций пользователь получает в банке — при выпуске пластика. В результате этого владелец карты пользуется двумя пин-кодами — отдельно для онлайн и офлайн-операций.

Многоразовый код меняется в интернет-банке или в офисе кредитной организации. Этот способ аутентификации менее надежный, так как не требует наличие телефона, к которому привязана карта. Третьему лицу достаточно узнать комбинацию и реквизиты счета, чтобы беспрепятственно делать покупки в интернете.

Подавляющее большинство интернет-точек подключаются к 3D Secure. Это повышает доверие покупателей, и, как следствие, увеличивает объем продаж. Также в интернете до сих пор есть магазины и сервисы, в которых оплата совершается без двойной аутентификации клиента: без кодов, логинов и паролей.

Проблема заключается в том, что на такой площадке покупки совершаются по реквизитам банковской карты: номеру, защитному коду (CVC/CVV), инициалам владельца. Лицо, обладающее этой информацией, приобретет необходимые товары и оплатит услуги, с не принадлежащей ему карты. Следовательно, абсолютные гарантии безопасности банки клиентам не предоставляют.

Рекомендуется пользоваться надежными и проверенными площадками, на которых изображены логотипы Mastercard Securecode, Verified by VISA, MirAccept. Также необходимо следовать основным правилам совершения онлайн-покупок.

По обычным транзакциям, без использования протокола 3D Secure, ответственность за обработку операции, совершенной с ворованной карты ложится на мерчанта — интернет-магазин. Если технология используется, то при оплате с чужой карты действует Liability Shift — переводится как перенос ответственности.

Это означает, что после ввода разового или многоразового кода подтверждения операции ответственность с интернет-магазина за использование чужой карты снимается, и переходит на эмитента или клиента. В большинстве случаев ответственность перекладывается на владельца карты, который примет попытки вернуть списанные деньги.

По операциям, предусматривающим ввод пин-кода (оплата в магазине, снятие наличных в банкомате) в случае несанкционированного доступа банк не возвращает деньги клиенту. При использовании 3D Secure действует аналогичное правило — если оплата совершается с выполнением всех требований безопасности, то вернуть сумму клиент не сможет.

Массовое внедрение технологии наблюдалось с 2016 года, когда все крупные банки стали ее использовать при изготовлении банковских карт. От клиента никаких действий не требовалось — протокол действовал по умолчанию и не подключался вручную.

При этом у отдельных банков держатели подключали опцию самостоятельно. Подобные условия действовали, к примеру, в ВТБ и Промсвязьбанке. Сегодня 3D Secure подключать не нужно: она будет работать после активации банковской карты. Это же правило касается отключения опции: клиенты банков лишены подобной возможности.

Наиболее доступный способ — тестовая покупка в любом интернет-магазине, оплата микрозайма, пополнение баланса мобильного телефона, денежный перевод или любая другая операция, предусматривающая списание денежных средств. Если на странице оплаты система затребует код подтверждения, 3D Secure работает.

Банки сокращают расходы на обслуживание клиентов, используя вместо смс-сообщений push-уведомления. Услуга доступна при наличии мобильного приложения. Также необходимо, чтобы владелец карты лично выбрал именно такой способ получения разовых кодов.