3d secure что это такое

29.08.202228.08.2022 admin 0 Комментариев

3d secure что это такое

Что такое 3-D Secure и как она защищает твою банковскую карту

Простота оплаты приложений, товаров и услуг сегодня позволяет нам расставаться с деньгами быстрее чем когда либо. Уважающий себя сервис сегодня должен иметь способ мгновенной оплаты своих услуг, иначе потребители уйдут к конкурентам.

К сожалению, такие технологии порождают новые возможности для мошенников. Доверия к приложениям и сайтам с каждым днем все меньше. Ты же знаешь, как могут увести данные твоей банковской карты.

Самое время вспомнить о проверенном временем способе защиты.

У клиента банка могут украсть карту или телефон, но вероятность, что в руках мошенников окажется и то и другое, гораздо меньше. Добавим к этому защиту на самом устройстве в виде пароля или биометрического сенсора и получаем довольно хороший уровень безопасности.

Как это работает

Изначально технология 3-D Secure была разработана для платежной системы Visa. Позже подобным протоколом обзавелись системы Masterсard, JCB International, AmEx, «Мир» (НСПК) и другие.

Сейчас практически все банки поддерживают 3-D Secure, но не всегда активируют защиту для клиентов по умолчанию.

Принцип работы технологии прост и знаком большинству из нас. При попытке совершения платежа от покупателя требуют не только данные карты, но и подтверждающий код, который приходит по СМС на привязанный мобильный номер.

Реже вместо СМС могут использоваться постоянные или одноразовые коды, которые известны лишь держателю карты.

Для ввода таких кодов всегда используется защищенный интерфейс банковской системы, что само по себе гарантирует безопасность оплаты.

Преимущества и недостатки

Такая двухфакторная авторизация призвана повысить защиту средств клиента, но имеет как положительные, так и отрицательные стороны.

Дополнительная защита никогда не бывает лишней, при краже карты или телефона снять деньги со счета практически невозможно. Даже если в руках злоумышленника окажется и то и другое – потребуется взломать еще и защиту смартфона.

3-D Secure снижает оперативность покупателя. СМС с паролем приходят не так быстро, как хотелось бы. Оператор может и вовсе «потерять» нужное сообщение, а если находишься в зоне неуверенного приема, проклинаешь эту защиту через пять минут.

Как еще можно защититься

Система 3-D Secure не гарантирует 100% защиту средств на карте. Для большей надежности следует придерживаться определенных правил:

Некоторые банки дополнительно предлагают застраховаться от потери денег с карты. За дополнительный процент или фиксированный ежемесячный платеж можно обезопасить себя от мошенников.

Источник

Что такое 3D Secure

В рамках обслуживания банковских карт эмитенты обязаны гарантировать сохранность денежных средств клиентов. На это банк тратит по-настоящему большие деньги. С развитием современных технологий разрабатываются новые инструменты безопасности. Один из них — 3D Secure: что это такое и как работает, расскажет портал Бробанк.ру.

Что такое технология 3D Secure

3D Secure — это разновидность XML-протокола, который используется в виде дополнительного уровня безопасности при совершении операций с банковскими картами в интернете. Протокол предусматривает проведение двухфакторной аутентификации клиента до завершения транзакции.

Впервые 3D Secure использовалась компанией VISA в рамках пакета услуг Verifled by VISA (VBV). Основная цель работы с протоколом — повышение уровня безопасности банковских карт при совершении операций в онлайне. Протокол применяется по кредитным и дебетовым картам.

Позже, пакет услуг стали применять все крупнейшие мировые платежные системы. Подключение производилось компаниями в следующем порядке:

Национальная система платежных карт МИР подключилась к 3D Secure в 2016 году. Сейчас все банковские карты выпускаются с подключенным по умолчанию пакетом. Отключить его нельзя — услуга оказывается бесплатно, вне зависимости от наименования банковской карты.

Протокол 3D Secure не следует рассматривать как 100% гарантию сохранности средств на счете. Он всего лишь предусматривает дополнительный шаг со стороны клиента при совершении CNP-операций (card not present) — когда не предъявляется карта.

Практика показала, что разовый код может быть перехвачен мошенниками: достаточно подвергнуть устройство воздействию вируса или вредоносного программного обеспечения. Технология снижает вероятность применения фишинга, но не исключает ее полностью.

Расшифровка термина

Инструмент получил такое наименование по причине одновременной работы трех доменов сразу (отсюда и название 3-D). Первый — домен продавца и кредитной организации, в которую перечисляются деньги. Второй — домен эмитента, выпустившего банковскую карту. Третий — домен совместимости (Interoperability Domain), предоставляемый платежной системой для поддержки работы протокола безопасности 3D Secure.

Как работает 3D Secure

При совершении операции в интернете, держатель карты, поддерживающей технологию 3D Secure проходит аутентификацию в два этапа. Протокол не нужно путать с кодами безопасности CVV2 и CVC2. Использование протокола производится следующим образом:

Если код указывается неверно, эмитент блокирует проведение транзакции. Как правило, разовый код 3D Secure состоит из шести случайных чисел, которые генерируются отдельно по каждой операции. Протокол работает на телефонах, смартфонах, персональных компьютерах, и все остальных устройствах.

У некоторых банков действует правило, согласно которому 3-5 раз неверно введенный код приводит к автоматической блокировке банковской карты. Таким образом, эмитент исключает доступ к карте со стороны третьих лиц.

Числовой код отправляется в виде СМС-сообщения, либо другим способом. Отдельные кредитные организации используют в этих целях push-уведомления. Для совершения операции необходимо иметь при себе телефон, привязанный к карте. За отправку кода плата не взимается.

3D Secure с многоразовым паролем

По некоторым картам технология 3D Secure используется виде многоразового пароля. Его клиент получает при активации карты. Этот вариант намного экономичнее, чем отправка числового кода, но уровень безопасности при его использовании еще ниже.

По стандартной схеме мошенникам потребуется перехватить одноразовый числовой код, либо завладеть телефоном держателя карты. Намного проще получать доступ к счету, когда по всем транзакциям используется один и тот же пароль.

Достаточно узнать этот самый пароль, чтобы по карте совершать практически любые операции. В этом виде технология используется небольшими банками, продукты и услуги которых не пользуются хорошим спросом у потребителей. Причина заключается в дороговизне подключения XML-протокола.

Проблемы с безопасностью при наличии 3D Secure

Часть держателей банковских карт совершенно ошибочно полагают, что наличие технологии 3D Secure полностью исключает несанкционированный доступ к счету. Подобное заблуждение часто приводит к непоправимым последствиям.

Дело в том, что некоторые интернет-магазины и прочие торговые площадки не поддерживают данную технологию безопасности. Покупки на этих ресурсах совершаются без аутентификации клиента.

По такому сценарию любой человек, знающий номер карты, инициалы держателя, срок действия и защитный код, может сделать покупку по карте в обход разрешения со стороны законного держателя. И подобных случаев встречается масса. Наличие 3D Secure никак не влияет на такие проблемы. За год с банковских карт пропадает огромная сумма, и вопрос сохранности средств пока для банков остается открытым.

Узнать, поддерживает ли интернет-магазин технологию безопасности можно на его титульной странице. Здесь должны быть отображены логотипы Mastercard Secure Code, Verifled by VISA, МИР Accept (для пользователей из Российской Федерации). Если соответствующих обозначений на сайте интернет-магазина нет, значит, покупки здесь производятся без дополнительной аутентификации клиентов.

Что такое Liability Shift

Использование 3D Secure по карте не исключает доступ к счету со стороны третьих лиц. При утрате денежных средств кто-то должен понести ответственность. Клиенты, в первую очередь, возлагает всю вину на банк, который может применить Liability Shift — перенос ответственности. Эта процедура подразумевает, что банк может оспорить транзакцию, и вернуть деньги на счет клиента. Для этого необходимо:

Если мерчант (торгово-сервисное предприятие) не проводит дополнительную аутентификацию покупателей, и кто-то воспользуется ворованной картой, то банк-эмитент может перенести ответственность на интернет-магазин по требованиям, которые ему (банку) предъявляет клиент.

Причина этого: банк позаботился о безопасности счетов своих клиентов, а магазин — нет. Следовательно, конечная вина может быть возложена на мерчанта. Но для этого держатель карты должен предпринять первичные действия — обратиться с требованиями о возврате суммы к банку-эмитенту, а также доказать, что операция совершена несанкционированно.

Как подключить и отключить 3D Secure на карте

3-DS в большинстве случаев подключается по умолчанию. Клиент для этого не совершает никаких действий. После активации карты технология начинает действовать в автоматическом режиме. При этом в некоторых банках подключать опцию необходимо вручную. Делается следующими способами:

К примеру, у Сбербанка, Тинькофф Банка, Альфа-Банка и других крупных кредитных организаций технология подключена по умолчанию. Клиенту для ее активации никаких действий совершать не нужно. У Промсвязьбанка и ВТБ услуга подключается клиентом самостоятельно.

Отключение опции в ряде случаев не предусматривается. У Сбербанка ранее можно было подключать и отключать технологию безопасности в Сбербанк Онлайн. Сейчас, по современным картам, деактивация по желанию клиента не производится.

Как узнать, есть ли на карте 3D Secure

Самый простой и верный способ — изучение описания к продукту. Специалисты сервиса Brobank.ru составляют экспертные описания к банковским картам. Цель этой работы — дать пользователю полную картину о предложении, за которым он собирается обратиться в банк. Если карта оформлена после 2016 года, то технология безопасности, скорее всего, подключена по умолчанию.

Второй вариант — попытаться совершить какую-нибудь операцию в интернет-магазине, в котором используется двухэтапная аутентификация покупателей. Найти такой магазин не составит труда — крупнейшие площадки уже продолжительное время работают с повышенными мерами безопасности. После того, как подходящий магазин будет найден, необходимо совершить следующие действия:

Завершать операцию покупкой товара нет необходимости. Если на телефон придет числовой код, который система предложит ввести в отдельное поле, значит, на карте полноценно работает технология безопасности 3D Secure. Если СМС-сообщение с кодом не придет, то, соответственно, опция отсутствует, либо ее нужно подключать вручную (активировать).

Источник

Что такое 3D secure на банковской карте

Ежегодно число держателей дебетовых и кредитных карт растет. Но появляются и новые способы мошенничества, которые могут списать деньги без ведома владельца. Для защиты личных данных и сохранности средств придумали технологию 3D secure.

Что такое 3D secure простыми словами

Ежедневно мы совершаем операции с нашими банковскими носителями — оплачиваем покупки в магазинах у дома и онлайн, переводим деньги, совершаем транзакции между своими счетами.

Пластиковые носители подвергаются опасности: без нашего согласия и ведома мошенники могут украсть деньги со счета. Чтобы минимизировать риски в банковской сфере были введены несколько степеней защиты.

Код нужен для подтверждения платежа в интернет-магазинах. Ни в коем случае нельзя сообщать эти цифры посторонним, даже если они представляются сотрудниками банка.

Пин-код защищает от несанкционированного снятия наличных средств через банкомат. Например, если карточка попала в руки третьих лиц.

Технология двухшагового подтверждения. Увеличивает безопасность проведения платежей с кредитных и дебетовых карт, которые мы совершаем в интернете.

Карта «Халва» – универсальный финансовый инструмент. Используйте свои средства, получайте кешбэк с покупок до 10% и доход на остаток собственных средств по карте до 9%, а также открывайте вклады под выгодный процент. Вы можете взять заемные средства до 500 000 рублей и потратить их на покупки в рассрочку 10 месяцев или больше, если оформите подписку «Халва.Десятка». Оформите Халву в пару кликов, и курьер привезет ее вам!

Только до 04.09.2022 действует увеличенная рассрочка – целых 24 месяца на все покупки у партнеров по акции «Школьная Халва». Позвольте себе еще больше с Халвой!

3D secure — что это такое? Дополнительная ступень сохранности денег.

Например, на сайте онлайн-магазина нужно произвести оплату. Вы вводите данные и CVV код, после чего всплывает страница, на которой вы вводите код, отправленный на ваш номер телефона. Это и есть подтверждение, что вы являетесь владельцем карточки. Ведь номер телефона привязан именно к этому пластику.

Название 3D secure не имеет отношения к дополненной реальности, а происходит от словосочетания Three Domains, или Три домена.

В операции участвуют три адреса — банк (откуда будут списаны деньги), магазин (кому средства отправятся) и домен совместимости, или платежной системы, которая обеспечивает техническую сторону транзакции.

Как это работает: вы вводите номер карты для оплаты товара, в этот момент списывается определенная сумма и замораживается на время на домене платежной системы, ожидая подтверждения из СМС. Если проверочный код не был введен, то деньги через какое-то время возвращаются на карту, так и не дойдя до адреса магазина.

В случае, если 3D secure-технология применяется при операциях интернет-магазина, на сайте можно найти специальные обозначения Verified by Visa (обозначается как VbV) или SecureCode от MasterCard.

Стоит отметить, это эта технология не гарантирует полнейшую безопасность денег: есть небольшая вероятность того, что проверочные коды могут перехватить вирусные боты и передать их злоумышленникам.

Халва знает, как заставить цвести ваше «денежное дерево» в любых условиях: покупать в беспроцентную рассрочку товары в 250 000 магазинах-партнерах на сумму до 500 000 рублей, получать кешбэк до 10% и приумножать сбережения в удобной онлайн-копилке до 7,5% годовых. Оформите карту и получите «золотой ключик» финансового благополучия!

Как подключить

Технология 3D secure довольно молодая — она стала активно внедряться в продукты банков с 2016 года, и сегодня является практически обязательной, поэтому предустановлена на большинстве современных карт.

Эта услуга абсолютно бесплатна. Но если вдруг протокол 3D secure не подключен на пластиковом носителе, активировать его можно самостоятельно при условии поддержания этой функции.

Следует обратиться с паспортом и картой к сотруднику, который поможет составить заявление и подключить функционал.

Протокол можно подключить при помощи вкладки «Прочие операции», предварительно привязав к номеру своего телефона.

Для этого нужно авторизоваться, в личном кабинете активировать протокол.

Нужно позвонить или написать в чат своей кредитной организации и попросить включить 3D secure.

Можно методом проб и ошибок узнать, подключена ли эта проверочная функция к вашему носителю. Для этого оформите любую покупку в интернет-магазине и введите данные. Выбирайте только проверенные площадки!

Далее ждите проверочного кода, который вам отправит банк в виде СМС. Сообщение не пришло? Значит, функция дополнительной защиты недоступна.

Как отключить

Начиная с 2016 года, практически каждый новый носитель оснащен протоколом 3D secure. Его использование абсолютно бесплатно, но и отключить функцию по требованию клиента невозможно.

Финансовые организации не заинтересованы в полном отказе от 3D secure.

Впрочем, всегда можно договориться. Например, если вы переезжаете в другую страну, но продолжаете пользоваться карточкой, банк может предложить привязать ее к заграничному номеру телефона.

Преимущества и недостатки

Совершенных технологий не существует, и 3D secure – не исключение. При всех ее плюсах есть и минусы, на которые тоже нужно обратить внимание.

Проверочный код действителен не более 5 минут, если не успеть его ввести в поле для проверки, придется запрашивать новый

Положительные стороны	Отрицательные стороны
Гарантия повышенного контроля и защиты: если носитель утерян, оплату без подтверждения невозможно осуществить	Есть уязвимые места: мошенники могут получить доступ к паролям с помощью вредоносных программ
Каждый раз генерируется новый пароль, который не нужно запоминать
Протокол проводит аутентификацию самостоятельно без участия владельца карты	Уведомления приходят, если телефонный аппарат находится в зоне доступа сети
Система предоставляет услуги бесплатно	Без доступа к интернету невозможно ввести проверочный код и совершить покупку

Почему эта функция интересна онлайн-магазинам, и они не заинтересованы в ее отключении? Дело в том, что протокол 3D secure защищает продавцов от определенного вида обмана — фрода. Часто случается, что покупатель требует вернуть деньги за товар после оплаты, мотивируя это тем, что не соглашался на транзакцию. 3D secure как раз доказывает факт согласия и намеренной оплаты путем подтверждения через одноразовый пароль.

Как мошенники могут обойти 3D secure

Примечательно, что торговые площадки, которые не поддерживают этот протокол, полностью снимают с себя ответственность за действия злоумышленников, поэтому обезопасить платеж в этом случае обязан банк, выпустивший карту.

Но если владелец карты введет СМС-пароль для подтверждения, все обязательства ложатся на его плечи, и доказать, что покупку совершили мошенники, будет практически невозможно.

Часто злоумышленники рассылают фейковые письма, в которых говорят о выигрыше, который можно получить, введя данные своей карты. Ни в коем случае не открывайте такие сообщения: в них наверняка находится вирус, который считает информацию и передаст третьим лицам, а вы, конечно, не получите никакой выигрыш.

Как обезопасить себя:

Банковский мир развивается и предлагает все новые и новые продукты. Кто знает, что ждет нас завтра? Возможно, финансовые учреждения придумают, как полностью обезопаситься от мошенников. В любом случае, ответственность за сбережения несем мы сами, а в этом нам помогает 3D secure.

Источник

3D Secure, или что скрывают механизмы безопасности онлайн-платежей

Электронная коммерция — одна из самых больших и быстро растущих областей, в связи с чем она привлекает внимание как исследователей информационной безопасности, так и злоумышленников. Поэтому хотелось бы разобраться в некоторых аспектах механизмов безопасности, применяемых при проведении онлайн-платежей.

Один из протоколов, используемых для увеличения безопасности онлайн-платежей — 3D Secure. Это протокол, который был разработан на основе XML в качестве дополнительного уровня безопасности платежей, проводящихся без физического участия карты (card not present payment). VISA создала первую версию этого протокола, но вскоре его начали использовать и другие компании (Master Card, JCB International, AmEx, Мир), впоследствии объединившиеся с VISA в содружество EMV. EMV занимается поддержкой и развитием протокола 3DS.

Почему протокол 3D Secure называется именно так?

Полное название этого протокола — Three Domain Secure.
Первый домен — домен эмитента — это банк, выпустивший используемую карту.
Второй домен — домен эквайера — это банк и продавец, которому выплачиваются деньги.
Третий домен — домен совместимости (interoperability domain) — инфраструктура, используемая при оплате картой (кредитной, дебетовой, предоплаченной или другими типами платежных карт) для поддержки протокола 3D Secure. Он включает в себя Интернет, подключаемый модуль продавца (merchant plug-in), сервер контроля доступа (access control server) и других поставщиков программного обеспечения.

Зачем это нужно?

3D Secure обеспечивает новый уровень безопасности путем предоставления дополнительной информации.
Еще одним важным моментом является «перенос ответственности». Это означает, что в случае мошенничества вся ответственность ложится на банк-эмитент. Этот момент является очень важным для продавца (мерчанта), т.к. до появления 3D Secure урегулированием спорных вопросов приходилось заниматься мерчанту.

Также не стоит забывать о двух важных психологических аспектах: повышении доверия к онлайн-платежам и увеличении конверсии.
Конверсия может быть увеличена за счет обновлений протокола 3DS, направленных на сокращение взаимодействия с пользователем.

Версии протокола 3D Secure

В настоящее время большинство платежных сервисов используют версию 1.0.2 при проведении онлайн CNP-платежей, запрашивающих OTP-код.
Версия 1.0.2 была создана в 2001 году и в ней есть некоторые проблемы.

На данный момент актуальной версией является v2.2, и EMV планирует, что к концу 2020-го года она будет использоваться везде.

Как это устроено?

Это основная схема, необходимая для понимания всего процесса платежа с использованием механизма 3DS.

На этом рисунке мы видим все три домена, используемые в протоколе, а также последовательность сообщений между всеми участниками платежной операции.

Как это работает?

Главное, что необходимо понять, — это то, что при использовании своей карты (виртуальной или реальной) для онлайн-оплаты, вы сталкиваетесь именно с протоколом 3DS. Поэтому сейчас мы проиллюстрируем все этапы совершения онлайн-платежа.

1 — Покупатель уже добавил все необходимые ему товары в корзину и нажал кнопку «Оплатить». В этот момент он попадает на страницу MPI-сервиса, где вводит данные своей карты.

После нажатия кнопки оплаты продавец (MPI) инициализирует старт платежного потока и, согласно протоколу, отправляет CRReq-запрос (Card Range Request). Данный запрос необходим, чтобы найти банк-эмитент вашей карты и получить CRR из домена взаимодействия. Этот запрос нас мало интересует.

После этого MPI отправляет VeReq (Verification Request). Этот запрос отправляется банку-эмитенту для проверки того, что 3DS для данной карты включен и карту можно использовать для оплаты.

VeRes (Verification Response) содержит дополнительную информацию для следующего этапа платежа.

Клиенты не могут видеть эти два типа сообщений.

2 — MPI создает PaReq (Payment Request) — запрос на оплату. Этот запрос отправляется через редирект в браузере клиента.

Итогом отправки PaReq становится отображение запроса на ввод OTP-кода.

3 — Клиент вводит OTP-код и возвращается на сайт продавца. Опять же в процессе этого через редирект от банка-эмитента к MPI передается PaRes (Payment Response), который содержит информацию о статусе проверки.

А поподробнее?

CRReq/CRRes для нас не очень важны. А вот VeReq/VeRes рассмотреть нужно.

В VeReq самым важным параметром является идентификатор сообщения, информация о продавце и PAN карты.

VeRes возвращает message id, который необходим, чтобы сопоставить запрос с этим ответом. А status enrolled показывает, что карта поддерживается.
Однако наиболее важным параметром в данном сообщении является URL-адрес. Этот параметр указывает, где находится ACS сервер эквайера и куда нужно отправить PaReq.

Pareq

Браузер клиента, совершающего оплату, может произвести достаточно много редиректов по различным компонентам, участвующим в совершении платежа. Так, в России есть некоторое количество запросов, обрабатывающихся на стороне Национальной Системы Платежных Карт. Но сегодня нас интересует только традиционный этап, описанный в спецификации протокола. А именно этап передачи PaReq.

Платежный запрос, содержащий PaReq (метод POST), имеет три параметра:
1) MD — данные продавца. Он нужен MPI, чтобы сопоставить PaReq и PaRes одной транзакции;
2) PaReq — параметр этого платежного запроса. Он содержит всю важную информацию о платеже;
3) TermUrl — URL-адрес, на который клиент будет возвращен в конце процесса аутентификации 3D Secure.

Параметры TermURL и MD всегда отражаются в ответе на данный запрос. Поэтому могут встречаться имплементации ACS, уязвимые к атакам типа reflected XSS. В процессе аудита различных систем такие сервера были найдены.

Важный момент №1: ACS сервера обрабатывают все входящие PaReq!

Что входит в параметр PaReq?
Вы можете получить его значение, раскодировав PaReq. Это сделать достаточно легко, потому что PaReq — это Xml-> zlib-> base64-> urlencode. Для упрощения работы с этими запросами был написан плагин для burp.

Теперь мы видим, что из себя на самом деле представляет PaReq, а именно сообщение формата xml. Это сообщение содержит информацию о сумме платежа (purchAmount, amount и currency), некоторую информацию о продавце и MessageId (из VeReq).

При отправке правильно сформированного PaReq (в большинстве случаев вам не нужен полный набор запросов на оплату — требуется отправить лишь PaReq, содержащий параметры правильного типа и длины), мы получим PaRes — ответ на платеж, подобный следующему:

Первая мысль, которая может прийти в голову веб-исследователю, который видит XML-запрос — это попробовать выполнить XXE. И это правильный путь!

Но для начала посмотрим на то, что случится, если отправить некорректно сформированный PaReq. Мы получим ошибку! Вот несколько примеров таких ошибок:

Ошибка может помочь получить дополнительную информацию о версии ACS. Некоторые из них могут также оказаться полезными для получения данных из XXE.

Раскрутим XXE

Рассмотрим следующий пример:

acqBIN, merID, xid, date, purchAmount и currency отражаются в PaRes. Однако во всех реализациях ACS, которые мы нашли, удалось использовать только merID. Остальные параметры проверяются на соответствие типам данных.

Еще один интересный параметр (и наиболее полезный для атаки) — это URL. Этот параметр не отражается, но и не проверяется. Поэтому его можно использовать для эксплуатации XXE.

Вернемся к нашему примеру. В одной из реализаций ACS мы обнаружили, что можем читать короткие файлы, а также получать ответ в PaRes error через параметр merID. Таким образом, используя PaReq из примера выше, мы получали следующий ответ:

Тем не менее в большинстве случаев оставалось только использовать параметр URL для получения DNS или HTTP-запроса к нашему сервису. Другой вектор — это выполнить DOS через XXE-атаку «billion laughs» (проверялось на тестовом сервере).

Где это можно найти?

В ходе нашего исследования мы обнаружили несколько распространенных URL-адресов:

И распространенные имена поддоменов:

Впрочем, иногда вы можете найти и другие интересные пути.
Если вы хотите найти что-то новое, используйте proxy interceptor и записывайте процесс совершения платежей для интересующей вас платежной системы.

3D Secure v 2. *

Как мы писали ранее, в 3DS v1.0 есть некоторые проблемы.

Основная проблема в том, что покупатель может использовать множество разных типов устройств. Планшет, мобильный телефон, умные часы, умный чайник и т.д. Но сайт ACS не всегда разработан для взаимодействия со всеми типами устройств.

Для этого в 3DS 2.0 предусмотрели 3DS SDK.

Другая проблема состоит в том, что новый тип защиты требует дополнительного взаимодействия с клиентом. И этот момент влияет на конверсию. Решением проблемы конверсии стала возможность использования механизма управления рисками, который позволяет не заставлять пользователя вводить дополнительные секретные данные, если банк обладает достаточным количеством информации, подтверждающей личность клиента.

Следующий важный момент заключается в том, что технологии аутентификации развиваются. Соответственно, 3DS могла бы использовать не только OTP. Поэтому v2 задумывалась с возможностью расширения поддержки различных механизмов аутентификации.

Интересный факт про v1.0. Люди некоторых стран не доверяли этому протоколу, потому что видели редирект и думали, что это мошенничество!

Этот психологический момент послужил причиной изменения спецификации второй версии протокола для сокрытия момента перенаправления.

Как работает 3D Secure v2?

Начало потока платежей аналогично предыдущей версии. Клиент должен указать данные своей карты.

Первый и самый важный момент — это Risk Engine. В версии 1.0.2 клиенты всегда должны вводить второй фактор, например OTP. Однако в версии 2. * клиент может никогда не увидеть этот дополнительный защищенный запрос.

Особенности работы v2

Если вы посмотрите на схему потока платежей, вы увидите, что она похожа на предыдущую, но во 2-й версии больше этапов. Это происходит за счет добавления дополнительных аутентификационных запросов и механизма Risck Engine, который может совершать как один дополнительный запрос (при платеже через браузер), так и множество (используется 3DS SDK).

Условно, 2-ю версию можно разделить на два блока. Красный, где пользователь непосредственно влияет на передаваемую информацию, и желтый, где система сама собирает и передает информацию о пользователе.

А поподробнее?

AReq (base64url) расскажет все о вас и об устройстве, с которого совершена покупка.
Если вы задумаетесь о том, какой информацией о вас располагают рекламные агентства, то данные AReq вас не удивят. Но если вам кажется, что это плохо, рассмотрите следующий момент: банки знают все о ваших покупках и о вас. С этой точки зрения, некоторая дополнительная информация не так уж и плоха)

Это сообщение необходимо для работы системы управления рисками и упрощения покупок.
Если этой информации оказалось недостаточно, Risk Engine сперва попытается получить дополнительную информацию, и именно в этот момент клиент может получить OTP-запрос.

Что контролирует пользователь?

CReq (base64url json) — challenge request — сообщение, отправляемое браузером пользователя, в случае если ARes вернет сообщение о необходимости провести Challenge Flow.

Если платежный процесс использует 3D Secure SDK, это сообщение будет зашифровано (JWE).

В CReq вы можете увидеть следующие поля:

К сожалению, нам пока не удалось провести достаточно подробное исследование 2-й версии протокола 3DS, поэтому сложно сказать, какие уязвимости встречаются чаще. Вы можете стать первым, кто опубликует исследование на данную тему.

Подведем итоги

Проблемы (найденные и возможные)

На что смотреть в v1

На что смотреть в v2

Тем, кто подумывает обратить свой взгляд на платежные системы, я бы посоветовал остановиться еще и на сервисах, предоставляющих 3DS как SaaS. Там может оказаться еще достаточно много вещей, которые помогут вам понять, как устроен мир онлайн-платежей.

Источник

Что такое 3D secure на банковской карте, как подключить/отключить услугу и как ей пользоваться

Чтобы злоумышленники не воспользовались потерянной картой владельца, была придумана функция 3D Secure. Что она из себя представляет, как ее подключить и как использовать – обо всем этом будет рассказано дальше.

Что такое 3D secure простыми словами

Для безопасности владельцев пластиковых карт были внедрены следующие степени защиты:

Технология основана на протоколе расширяемого языка разметки. Применяется для защиты онлайн-платежей с дебетовых и кредитных карт.

Она не защищает денежные ресурсы, лежащие на карте, как пин-код, вводимый при снятии денег с банкомата. Также технологию не следует путать с CVV-кодом на обороте карты.

Почему именно 3D

3D-Secure не означает, что оплата проводится в каком-то трехмерном пространстве. Этот термин произошел от общего сокращенного названия трех систем или доменов (англ. «3 D» — Three Domains, что переводится как «Три домена»), которые участвуют в процедуре обмена деньгами и обеспечивают защиту их перевода от владельца к продавцу. Ими являются:

Если технология подключена к карте ее держателя, то без ведома последнего провести платеж невозможно.

Как работает протокол

Работа протокола 3D Secure заключается в перенаправлении пользователя на страницу банка-эмитента, то есть банка, выпустившего карту. На этой странице пользователь должен будет ввести одноразовый код в специальное поле. Одноразовый пароль приходит по смс на номер телефона, привязанного к карте владельца.

Протокол будет задействован только в том случае, если услуга активирована.

Как подключить 3D Secure

Функция является бесплатной. Если у пользователя данная услуга не подключена, то он ее может активировать одним из способов:

в офисе банка; по телефону; через банкомат; через онлайн-банкинг.

Примеры банков, которые подключают карты к 3D Secure:

Наименование банка	Подключение	Стоимость подключения	Ежемесячная комиссия
Сбербанк	Автоматическое, при получении карты	Бесплатно	Нет
Тинькофф	Автоматическое, при получении карты	Бесплатно	Нет
ВТБ 24	По заявлению владельца, через онлайн-банкинг	Бесплатно	Нет, взимается единоразовая плата за входящее смс с баланса телефона

Обратившись в офис местного филиала банка

Подключение этой услуги осуществляется бесплатно. Владельцу карты необходимо сделать следующее:

Прийти в банк с паспортом и картой. Написать заявление о подключении. Форму для заполнения выдаст сотрудник. Активация произойдет после совершения первого платежа.

По телефону

Подключить услугу можно по телефону, не выходя из дома. Например, для Сбербанка:

Отправить Слово «Полный» в смс на номер 900. Дождаться сообщения с динамичным кодом (одноразовым паролем) из четырех цифр. Ввести эти цифры в ответном сообщении и отправить снова на номер 900. Дождаться смс с подтверждением о подключении. Теперь можно безопасно оплачивать услуги и товары по интернету.

Через банкомат

Чтобы осуществить подключение через банкомат, пользователю необходимо будет позвонить в банк и узнать о том, есть ли функция 3D на у его карты. Если ответ положительный, то владелец может смело отправляться в ближайший банкомат и подключать услугу.

Вставить карту в банкомат именно того финансового учреждения, которое выпустило ее. Кликнуть по пункту «Другие операции». Найти и выбрать «3D Secure». Ввести номер мобильного, привязанного к карте.

Теперь динамичные коды для оплаты посредством технологии 3D Secure будут приходить на телефон при проведении платежа.

Через онлайн-банкинг

Подключить услугу можно в личном кабинете Сбербанка или любого банка, поддерживающего технологию. Будет показано на примере Сбербанка:

1 Открыть главную страницу банка и войти в личный кабинет.

2 Нажать на вкладку «Карты».

3 В выпавшем меню выбрать «Подключение 3D Secure».

Отключение 3D Secure

Вообще нежелательно отключать данную функцию, если она была подключена, потому что тогда владелец карты не сможет оплатить товар или услугу в интернет-магазине, оснащенном этой защитой.

Причины, по которым владельцу может быть нужно отключить защиту:

переезд в другую страну; смена номера телефона; необходимость совершить покупку в тех магазинах, где 3D Secure не поддерживается.

В таких ситуациях банки могут помочь пользователю следующим образом:

Например, Альфа-банк дает возможность смены номера на иностранный, если так удобнее для клиента, без отключения защиты. Если пользователь все-таки настаивает на отключении, то он может обратиться в банк с письменным заявлением, (если финансовая организация не поддерживает услугу отключения функции защиты в личном кабинете пользователя). В онлайн-банкинге Сбербанка предусмотрена услуга отключения функции. Для этого пользователь должен в личном кабинете пройти во вкладку «Карты». В открывшемся списке под пунктом «Подключить 3D Secure» будет располагаться пункт «Отключить 3D Secure». Кликнуть по нему.

Как пользователю узнать о подключении карты к технологии защиты 3D Secure

Не все банки используют данную технологию, так как обслуживание этой функции – дорогостоящее. Финансовые организации, которые работают более 10 лет и имеют развитую розничную сеть (Сбербанк, Альфа-банк, ВТБ и другие известные банки), регулярно встраивают ее по умолчанию в выпускаемые карты.

Подключение к ней осуществляется сразу после получения и активации. По международным предписаниям карты Visa и Mastercard наделяются услугой по умолчанию.

Узнать, присутствует ли на карте пользователя эта функция или нет, владелец может двумя способами:

совершить покупку в интернет-магазине. Если смс с динамичным кодом не пришло на номер телефона, то это значит, что услуга не подключена. Например, Альфа-банк подключает эту функцию по умолчанию только для некоторых видов платежей. Поэтому, чтобы использовать возможности услуги полностью, рекомендуется узнать о наличии технологии вторым способом; обратиться к сотрудникам банка, в котором была выпущена карта.

Карточки с 3D-Secure

Список популярных банков, поддерживающих услугу 3D Secure:

Сбербанк; Альфа-банк; ВТБ; Бинбанк; «Русский Стандарт»; «Почта-банк»; «Тинькофф»; «Связной банк» с 2012 г.; «Уралсиб» с 06.2013; «Промсвязьбанк»; «Абсолют Банк» с 10.2013; МДМ с 11.2013; Ренессанс-кредит с 11.2013.

ДЛЯ СПРАВКИ: Карты, выпущенные ранее 2012 года, не поддерживают 3D Secure.

Интересные факты о безопасности

Интернет-магазин, который не поддерживает стандарт 3D Secure, не несет ответственность за безопасность платежа. Поэтому ответственность ложится на банк, выпустивший карту.

Однако, если пользователь подтвердил платеж динамичным кодом, пришедшим в смс, вся ответственность перекладывается на владельца. Если карта и пароль все-таки оказались в руках мошенника, законному владельцу не удастся доказать, что не он проводил платеж.

Все динамичные пароли, которые приходят по смс при проведении платежа, после введения в соответствующее поле и оплаты становятся недействительными. Они также имеют ограниченный срок действия: обычно это 5 минут. Эти коды не следует разглашать третьим лицам.

Например, владельцу карты приходит сообщение на почтовый ящик с предложением пройти по ссылке и забрать некий выигрыш. При этом он должен ввести данные своей карты, якобы чтобы получить деньги. Этого делать не стоит, так как компьютерная программа считает информацию карты пользователя, а потом использует в собственных целях.

Не рекомендуется оплачивать онлайн-покупки в общественных местах. В видеонаблюдении могут работать недобросовестные люди и следить за информацией, которую вводит держатель карты.

Преимущества и недостатки системы

К преимуществам можно отнести:

Получение нового кода в смс при каждой покупке или оплате. Не нужно держать пароли в голове и менять их раз в месяц. Простота процедуры. Безопасность. Доступ к телефону есть только у владельца карты. Если же он украден, то мошеннику потребуется еще и карта.

При плохой связи или при полном ее отсутствии смс-коды могут не прийти на телефон. О том, как решить проблему, если пользователь не дождался прихода динамичного пароля, будет рассказано в блоке «Ответы на вопросы». Возможность похищения кода с компьютера. Операционные системы, через которые проводится платеж, подвержены заражению вирусами. Последние умеют анализировать коды и отправлять их злоумышленникам.

Как избежать действий мошенников и обхода системы безопасности

Владелец карты может защитить себя от мошеннических действий следующими способами:

регулярно обновлять антивирусную базу и пользоваться только лицензионным антивирусом на компьютере или смартфоне, с которых проводятся платежи; ничего не покупать на неизвестных или малознакомых сайтах; внимательно читать текст, который пришел в смс вместе с динамичным кодом; желательно установить дневной лимит на снятие денег с карты. Это обезопасит владельца от потери всей суммы в случае атаки злоумышленников; и самый редкий, но все же встречающийся ход от воров электронных денег – это перевыпуск сим-карты. Поэтому, если телефон владельца перестал ловить сеть даже в тех районах, где всегда хорошо ловил ее, держателю карты нужно будет как можно быстрее обратиться в банк для блокирования счета и к своему провайдеру — для замены номера.

Платеж с помощью 3D Secure (подробная инструкция)

Совершить платеж в магазинах, где предусмотрена эта система безопасности, можно следующим образом. Такие онлайн-магазины помечаются специальными логотипами:

Предположим, владелец карты желает купить сумку в интернет-магазине.

1 Он выбирает товар и переходит на страницу оплаты.

2 Вводит информацию со своей карты для проведения платежа.

3 Пользователя перенаправят на страницу для ввода специального кода. На странице дана краткая информация, окно для ввода динамичного кода и логотип банка-эмитента.

4 Теперь держателю карты предстоит ввести одноразовый код, который придет на номер телефона, привязанный к карте.

При совпадении динамичного кода, пришедшего на телефон, и введенного пользователем платеж поступит в обработку и произойдет снятие указанной суммы с карточки.

Динамичный код не следует показывать третьим лицам. Вводить его нужно тому человеку, которому он пришел на телефон. Об этом предупредит смс с кодом.

Вопрос — ответ

Какие плюсы получают от данной функции интернет-магазины и продавцы?

Подключение этой услуги дает им защиту от фрода. Фрод – это вид мошенничества. Заключается в требовании возврата денег после оплаты и получения товара. Злоумышленник, прикидывающийся владельцем карты, обосновывает это тем, что не давал согласия на оплату.

Разрешена и безопасна ли покупка в магазинах без 3D Secure?

Многие торговые площадки в сети, например, как AliExpress, не поддерживают такую функцию и продают без проблем, еще и спросом пользуются. Банк проведет операцию в любом случае, даже если данные были украдены с помощью вируса и введены мошенником. При покупке товара владельцем карты он и так знает, что покупает он сам. Поэтому ответ положительный, но в любом случае надо полагаться на свой или чужой опыт, если нет своего, и на совсем уж подозрительных сайтах не совершать покупок.

Что делать, если одноразовый код не пришел?

Нажать на кнопку «Отправить код еще раз». Но перед этим убедиться в том, что:

смартфон включен, связь не заблокирована, тариф сотовой связи проплачен и действует; тарифный план предполагает получение СМС, если пользователь находится за рубежом; пользователь находится в зоне приема сети провайдера; телефон привязан к карте.

Что делать, если происходит ошибка авторизации 3D Secure?

Существует две причины, по которым приходит ошибка авторизации 3D Secure.

После этой ошибки желательно перезайти в браузер и провести платеж снова.

Можно ли отказаться от сервиса 3D Secure?

Данный сервис является обязательным. Многие магазины не работают с картами, на которых не задействована эта функция защиты.

Еще по теме

Где взять денег – 26 способов для тех, кому срочно нужны деньги

Срок исковой давности по кредиту — как правильно считать и что.

Налоговые вычеты 2022: что это такое, кто может получить, виды, способы.

Сколько процентов от зарплаты могут удерживать судебные приставы

Как снять деньги с телефона МТС

Центральный Банк России — что это за организация, где.

Как взять ипотеку без первоначального взноса — 9 основных способов.

Что такое лизинг — чем отличается от кредита, виды лизинга, условия.

Как продать квартиру в ипотеке — 4 лучших способа + отзывы продавцов.

3 способа рефинансирования микрозаймов МФО + расчеты и список проверенных.

Об авторе

Алексей Белокуров

Оставить комментарий X

3 комментария

Алексей, Вы большой молодец!
Два месяца назад у меня мошенники списали крупную сумму.
Ваша статья помогла разобраться как.
Обстоятельства были такие.
Я собрался сделать перевод. Вдруг звонок СББ (служба безопасности банка) с вопросом —
Вы хорошо знаете человека, которому переводите?
Отвечаю — нет! Перевожу по рекомендации трейдера-консультанта…
-Вы жертва мошенников. В Ваших интересах карту переиздать, счет блокировать. С новой картой сменить пароль в ЛК, рин код и ключевые слова.
Я последовал советам СББ.
При перевыпуске карты, ее номер *2555 на *новую, еще до доставки мне карты курьером произошла кража/трата. Мне пришло письмо — карта новая готова, все ли верно?
Вошел в ЛК по старому паролю и 3D-Sucure.
Вижу трату/кражу с карты.
Заказываю тут же справку движения денег по счету.
Узнаю карту *2555 перевыпустили на *7972 с нее сделана трата в binance.com — крипто биржа
Банк перевыпускает и передает мне через курьера курту *6761 практически пустую.
Уверяет — это Вы сами могли только сделать, у Вас 3D-Sucure….

Где банк не прав?
Мне думается, счет должен быть заблокирован до вручения новой карты с тем, чтобы была возможность сменить рин-код, пароль, ключевые слова…
Вторая ошибка, которую признал банк — при выпуске новой карты не сделали сброс привязки к ЛК/мобильному приложению.

Можно ли оспорить такую ситуацию
Спасибо

Оформила оплату в интернет магазине в Болгарии, ввела данные карты и код из СМС, пришло сообщение что платёж поддерживается 3D secure, как сделать платёж в этой системе? Наверху есть название систем оплаты verified by visa. Когда вошла там можно зарегистрировать карту, но России и Болгарии нет. Что можете посоветовать. Спасибо. Тамара

Источник

Протокол 3D-Secure

Вся передаваемая подтверждающая информация от покупателя сохраняется на платежном сервере банка-эмитента, и интернет-магазин не имеет к ней никакого доступа (магазин может только сохранить часть информации по реквизитам платёжной карты, но в объёме не более чем это предписано в PCI DSS). Это защищает данные от хищения

Не все онлайновые магазины и банки поддерживают 3D-Secure. Эта технология не является обязательной и защищает в первую очередь торговую точку и банк от мошеннических операций. При возможности использования 3D-Secure, но не задействованном сервисе (например, карта клиента поддерживает данную технологию, а онлайн-магазин нет; или же наоборот платёжный сервис готов предоставить авторизацию по 3DS, а карта клиента не подключена к этому сервису), ответственность за несанкционированную транзакцию возлагается на сторону, по чьей вине не была использована технология 3DS. Узнать онлайн-магазины, поддерживающие технологию 3D-Secure, можно по размещенным на сайте или платёжной странице логотипам: Masterсard SecureCode и/или Verified by Visa .

Материалы по теме:

Комментарии 39

3d secure защищает от мошенничества только продовца услуг! Клиента 3d secure полноценно защитить не может. Это значит что клиента с легкостью может обворовать любой человек, кто хоть раз в жизни видел банковскую карту, даже несмотря на наличие 3d secure на его карте.

Как это происходит? Элементарно. С 3d secure вас может обворовать пожалуй даже 6-ти летний ребенок. Хаккером для этого становиться совсем не обязательно.

Даже сотрудник вашего банка выдавший вам вашу карту и подключивший к ней 3d secure может сразу же после активацией вами вашей карты воровать оттуда деньги. Легко и не принужденно! Не верите?

Он может купить в любом интернет магазине не использующем 3d secure (коих в сети миллионы) товар по вашей карте. Для этого ему потребуется, ВДУМАЙТЕСЬ, всего лишь ввести номер и срок действия вашей карты, а также трехзначный код с обратной стороны карты. Все эти данные нанесены на вашу карту и в момент выдачи карты даже сотрудник вашего банка мог их запомнить\записать\сфотографировать. Вы же получили вашу карту не опечатанную в конфиденциальный конверт, не так ли? Я уже не говорю о любом официанте или кассире, который видел или держал в руках вашу карту.

Удивительно, но они именно это называют интернет мошенничеством. Много ли нужно ума, чтобы так смошенничать.

Всего-то надо запомнить номер карты, срок ее действия и три цифры с обратной стороны и даже несмотря на технологию 3d secure карту можно обчистить за считанные секунды просто купив по ней товар в интернет магазине! И никаких подтверждение по смс не будет!

Не верите? Действительно звучит весьма не безопасно для того, чтобы такое могло происходить в банке. Просто позвоните в свой банк и спросите! Вы будите крайне удивлены жалкими и увилистыми ответами сотрудника банка, которые подтвердят вышеизложенное.

Веселее всех конечно держателям кредиток. Их могут еще и в долги по карте вогнать!

Так что безопасность 3d secure для клиентов выглядит по меньшей мере смехотворно.

Но есть решение. Вы можете завести себе карту в нормальном банке. Например в альфабанке или банке тинькофф, возможно в каких-то еще. У них есть приложения для телефона, которые позволяют мгновенно включать и выключать платежи по карте. Таким образом вы всегда можете одним кликом на телефоне включить платежи по карте, совершить платеж и после этого одним кликом выключить платежи по карте. В этом случае, уже не получается ничего украсть с карты, потому что она практически все время будет выключена.

Так, что не надейтесь на 3d secure. Открывайте карту в банках с нормальным интернет банком и мобильным приложением, которое позволяет включать и выключать платежи по карте. И тогда ваши деньги будут в безопасности.

Источник

Как работает система 3D-Secure для платежных карт, как ее подключить и зачем это нужно?

Чтобы обеспечить сохранность средств своих клиентов, банки регулярно совершенствуют старые и внедряют новые системы безопасности. Одним из самых серьезных инструментов защиты стал протокол 3D-Secure, который обеспечивает двустороннюю аутентификацию клиента во время проведения оплаты в интернете. О том, что это за система, как она подключается и применяется, разберем детальнее.

3D-Secure – что это?

3D-Secure – это технология, которая применяется для обеспечения дополнительной безопасности деньгам пользователя во время проведения им платежей в интернете. Программа предусматривает проверку человека, который совершает платёж – для подтверждения нужно ввести единоразовый пароль, который высылается на закрепленный за карточным счетом клиента номер телефона. Так клиент еще раз подтверждает, что именно он хочет совершить транзакцию.

Система получила название 3D, так как она сформирована за счет участия трех доменов (Three Domains) или, другими словами, электронных адресов, которые взаимодействуют между собой в процессе проведения транзакции:

Соответственно система 3D-Secure может быть установлена отдельно как банком-эмитентом, так и магазином, а может быть установлена в двустороннем режиме.

Кстати, для карт «Мир» эта система тоже существует, но называется она MirAccept, принцип действия тот же – для проведения платежа нужно дополнительное подтверждение.

Два способа подтверждения платежа

В зависимости от применяемой банком системы дополнительной защиты клиентам подключают услуг 3D-Secure с одним из двух способов аутентификации.

Первый использует большинство банков, которые серьезно относятся к вопросам безопасности и защиты денег их клиентов. При каждом платеже отправляется код, который можно использовать только один раз, и он действителен на протяжении всего нескольких минут. Такая система защиты стоит дороже для банка, но и является более эффективной. Клиенту не нужно ничего придумывать и запоминать, а значит уменьшается вероятность, что паролем завладеет мошенник.

Второй используется небольшими банками в целях экономии средств. Клиенту нужно придумать уникальный код, который затем придется указывать при совершении каждой операции (то есть, он действует по типу пин-кода). Это тоже хороший способ защиты платежей, но при нем гораздо выше риск, что код «утечет» к злоумышленникам. При этом подтвердить платеж можно без ведома клиента, мошеннику достаточно вписать тайный код.

Следовательно, более эффективным и надежным способом защиты будет первый вариант с отправкой одноразового СМС-пароля.

Как это работает?

Так как интернет-мошенничество в последние годы на пике формы, то дополнительная защита при платежах – еще одна гарантия сохранности средств как для клиента, так и для магазинов.

Начиная с 2016 года многие банки, начали массово предлагать установку бесплатной опции 3D-Secure на карточки, предназначенные для расчетов в интернете. В последнее время эта услуга уже объявляется как обязательная, поэтому подключается она в автоматическом режиме в большинстве банков.

Среди банков, уже внедривших эту опцию, такие:

Для банка внедрение этой технологии – гарантия, что платеж проводит непосредственно держатель карты, так как код подтверждения приходит на номер телефона, зарегистрированного во время открытия карточного счета.

Что же касается магазинов, то многие интернет-площадки еще не подключили к себе на страницу эту опцию, и в теории они могут стать заложниками неприятной ситуации, когда при оплате деньги переводятся без ведома клиента, а затем он требует их возместить в полном объеме. В таком случае банк может оставить виновным магазин, и потребовать возместить ущерб, так как на сайте продавца допускается оплата без аутентификации. А в случае потери карты любой злоумышленник может провести оплату за счет чужих денег.

Алгоритм действия

На практике же процедура будет следующей:

Важно! Если у клиента не установлена подобная защита, и не приходят уведомления от банка, а магазин установил систему защиты 3D-Secure, тогда, скорее всего, провести операцию будет невозможно. Система откажет в проведении транзакции, даже если ранее вы проводили оплаты без проблем. Возможно, программа была установлена недавно. Узнать информацию можно на странице продавца в разделе «оплаты».

Какие у системы преимущества и недостатки?

Любая технология имеет свои преимущества, и не всегда лишена недостатков. В нашем случае явные плюсы и минусы технологии 3D-Secure таковы:

Важно! Для сохранности денег нужно постоянно обновлять антивирусную систему на устройстве, с которого осуществляются платежи и на смартфоне. Это убережет от установки программ «шпионов».

Как подключить систему дополнительной безопасности?

Как сказано выше, в последнее время банки устанавливают данную услугу как базовую в момент выдачи карты. При этом отказаться от использования ее не так уж и просто – от этого зависит не только безопасность клиента, но и репутация самого банка. Если по каким-то причинам услуга не была включена автоматически, то клиенту можно подключить ее самостоятельно, воспользовавшись одним из доступных способов, предложенных банком-эмитентом.

В офисе банка-эмитента

По телефону call-центра

Часть банков поддерживает возможность настройки во время обращения на горячую линию. Клиент соединяется с оператором, говорит, что хочет подключить услугу 3D-Secure и называет данные, которые запросит оператор для проверки личности. Затем консультант подключит нужную услугу.

Через мобильный банк

Как правильно отправить заявку, стоит уточнить в своем банке. В случае со Сбербанком достаточно отправить СМС «Полный» на короткий номер 900, после чего придет код активации. Его нужно повторно отправить по номеру 900. После проверки системой информации будет отправлено сообщение с подтверждением проведенной операции.

С помощью банкомата

Если ваш банк поддерживает установку услуги 3D-Secure, тогда настроить ее можно будет с помощью банкомата или терминала самообслуживания. Для этого нужно сделать следующее:

Важно! В зависимости от настроек, установленных банком, разделы могут иметь другое названия. В конце может потребоваться введение мобильного номера, закрепленного за клиентом.

Через личный кабинет

Еще один наиболее часто используемый способ – настройка в онлайн-банке. Для этого нужно авторизоваться в своей учетной записи, и в разделе с картами выбрать ту, к которой требуется настройка системы 3D-Secure. В меню действий с картой можно найти настройку нужной функции.

Отключение услуги дополнительной защиты

Что же касается деактивации, то отключить услугу вручную получится далеко не во всех в банках. Связанно это с тем, что в этом случае безопасность карты и денег на ней будет под угрозой. Чаще всего отключение этой услуги требуется, если необходимо заменить номер мобильного или при выезде за границу. Но и на этот случай частью банков предусмотрена возможность замены номера без предварительного отключения защиты.

Если же такая необходимость возникла, то на примере Сбербанка можно отметить, что отключить услугу можно в личном кабинете самостоятельно в разделе карт. Для этого нужно выбрать карту, где следует деактивировать функцию, и найти соответствующую задачу в выпадающем меню.

Как видим, работа с 3D-Secure не вызывает сложностей, поэтому настроить и использовать ее сможет каждый любым удобным для себя способом. Если вы проводите платежи, и вам не приходит код для подтверждения операции на мобильный, значит услуга у вас не подключена.

Позабудьтесь о своей финансовой безопасности и подключите своевременно дополнительную защиту для своей карты.

Источник

3-D Secure

3-D Secure — защищенный протокол авторизации пользователей для CNP-операций (проходящих без физического присутствия карты). Это дополнительный уровень безопасности — еще один шаг аутентификации пользователя, который расплачивается за товары или услуги онлайн. Во время покупки, чтобы подтвердить онлайн-платеж, держатель карточки вводит особый код (как правило, получает его в сообщении на привязанный телефонный номер).

Если технология поддерживается онлайн-продавцом, на его сайте есть логотипы Verified by Visa (VbV) и (или) MasterCard® SecureCode™.

3-D Secure важно отличать от кода CVV2 (находится на оборотной стороне карточки возле подписи владельца и обычно состоит из 3 цифр).

3-D Secure не гарантирует абсолютную безопасность финансов: все же остается риск, что одноразовый код украдут компьютерные вирусы. Технологию поддерживают не все банки и не все интернет-магазины. Во многих случаях для перевода денег с карты требуется указать лишь имя и фамилия владельца, номер и срок действия карточки, CVV2-код.

«Беларусбанк» предлагает совершать безопасные платежи в интернете держателям международных карт Visa, Maestro, MasterCard, БЕЛКАРТ-Maestro, а также для получивших карточки Visa Electron, Maestro, действительных на территории Беларуси.

«Белинвестбанк» подключает к 3-D Secure карточки Visa и Visa Electron.

Актуальную информацию лучше узнавать в банке, эмитировавшем карточку.

Как подключить 3-D Secure

Услуга обычно бесплатная, однако некоторые условия (список доступных карт, подключение) разнятся.

В большинстве случаев владельцу карточки надо подключить интернет-банкинг и в нем активировать услугу.

Клиентам «Беларусбанка» это следует делать в разделе «Пароль 3-D Secure»: необходимо пройти регистрацию, придумав пароль (от 9 до 15 любых символов). Предусмотрен запасной пароль. Надо придумать секретный вопрос и ответ на него. Если пароль 3-D Secure потеряется или забудется, секретный вопрос позволит задать новый пароль для безопасных покупок в Сети.

«Белинвестбанк» предоставляет пользователям право получить доступ к 3-D Secure, если пользователь карты подключен к интернет-банкингу. В банкинге надо выбрать карту и нажать кнопку «3-D Secure». Затем задать пароль, написать личное приветствие, секретный вопрос и ответ; нажать кнопку «Сохранить».

«Приорбанк» предупреждает клиентов, что 3-D Secure применяется, если у банка есть актуальный номер мобильного телефона владельца карточки.

Держатели карт, полученных в «Белагропромбанке», должны войти в банкинге в меню «Операции в сети Интернет», там выбрать карту и нажать «Активация 3D-Secure». Затем заполнить стандартные поля.

«Альфа-Банк» автоматически активизирует 3-D Secure в течение 2 банковских дней после получения карточки, если ее владелец указал в анкете номер мобильного телефона.

Источник

Зачем нужен 3D-Secure и как подключить?

Для чего нужна технология 3D-Secure, нужно ли подключать и как защитить себя от мошенников?

Что такое 3D-Secure?

Современное технологическое решение, позволяющее максимально обезопасить платежные операции через онлайн-ресурсы, называется 3D-Secure. Данная услуга разработана для международных платежных систем и является сертифицированным продуктом, помогающим владельцу банковской карты исключить риски мошенничества в сети Интернет. Программа безопасности осуществляется благодаря дополнительной идентификации для подтверждения платежа при помощи OTP-пароля (One Time Password).

Технология 3D-Secure – XML-протокол, применяемый в качестве дополнительного уровня защиты. Эффективность данного метода двухфакторной аутентификации помогает участникам банковской операции (эквайеру и эмитенту) убедиться, что оплата проводится именно владельцем карты. Суть технологии заключается в появлении третьего независимого домена для обеспечения работы системы безопасности и подтверждения транзакции.

Что такое 3D-Secure на банковской карте

Многие банки Российской Федерации используют данный тип защиты при расчетах в сети Интернет и подключают услугу автоматически. В некоторых случаях защиту нужно подключать самостоятельно, отправив запрос в банк и активировать автоматическое «SMS-информирование» на выбранный и подтвержденный вами номер.

Рассмотрим детальнее, что такое 3D-Secure на банковской карте и как она работает. Программа была разработана для защиты онлайн-платежей от несанкционированного снятия денежных средств с дебетовой или кредитной карты через Интернет. Банковская карта связана с номером мобильного телефона, на который в случае совершения покупок в Интернете, высылается код подтверждения. Без этого одноразового пароля карта защищена от снятия денег в онлайн-магазине.

Технология 3D-Secure Visa и MasterCard

Благодаря 3D-Secure каждая покупка в онлайн-магазинах в обязательном порядке должна быть подтверждена одноразовым кодом, который высылается на мобильный телефон. Такая система безопасности эффективна для расчетов только на сайтах, поддерживающих данную систему, о чем свидетельствуют соответствующие логотипы. На непроверенных ресурсах, которые не поддерживают сервис, данная программа не работает. Прежде чем совершать покупку, обратите внимание на наличие соответствующих логотипов, которые свидетельствуют о том, что сайт поддерживает безопасный протокол денежных платежей:

Данная технология проста, понятна и предельно эффективна. Применение трех-доменной защиты для каждой транзакции предполагает наличие дополнительной аутентификации владельца карты. Отсюда и появилось в названии 3D, обозначающие три домена защиты, которые участвуют в осуществлении платежа:

При подключенной защите карточки, каждая онлайн-покупка на сайтах, поддерживающих безопасный протокол перевода денег, происходит в несколько этапов, не требует особых знаний и не занимает лишнего времени:

Как подключить 3D-Secure?

Вся суть трех-доменной защиты основана на получении уникального пароля на мобильный номер телефона и дальнейшем введении его для подтверждения оплаты. Поэтому для активации двойной аутентификации при онлайн-платежах необходимо подключить в своем банке услугу «SMS-информирование». Как правило, в банках подключение 3D-Secure возможно двумя способами:

Активация защиты банковской карточки занимает минимум времени, а ее эффективность доказана и признана ведущими мировыми платежными системами. Всего несколько простых действий и ваши средства на карте надежно защищены самой современной и высокотехнологичной системой безопасности. Также обратите внимание, что номер мобильного телефона, который указан для отправки одноразового пароля, при необходимости можно сменить. Дополнительно стоит отметить, что рассылка сообщений уникальными паролями в роуминге не работает, поэтому во время путешествий за границей этот фактор нужно учесть.

Далее детально рассмотрим особенности, наиболее удобные варианты и этапы, как подключить 3D-Secure для своей банковской карты на примере Сбербанка и ВТБ 24.

Как подключить 3D-Secure в Сбербанке

Не во всех банках предоставляется данная услуга по защите банковской карточки, но в Сбербанке она абсолютно бесплатная и активируется автоматически без каких-либо требований со стороны клиента. Если у вас совсем новая карта, и еще не активирована защита 3D-Secure, Сбербанк как подключить эту услугу, подскажет в любом своем отделении и выполнит активацию сразу же после обращения. Для того, чтобы проверить, работает ли сервис, достаточно совершить любую мелкую покупку в Интернете или пополнить счет на мобильном телефоне.

Некоторые владельцы дебетовых или кредитных карт задают вопрос, можно ли отключить 3D-Secure? Сбербанк настоятельно рекомендует пользоваться трех-доменной защитой для денежных транзакций при онлайн-покупках и оплате услуг при помощи сети Интернет. Сервис 3D-Secure Сбербанк считает и называет дополнительной защитой от мошенников, поэтому отказываться от его использования нецелесообразно. Кроме того, при использовании шестизначного одноразового пароля, полную ответственность за неправомерное снятие денежных средств в интернет-магазине автоматически переносится на банк.

Службой безопасности рекомендуется к применению технология 3D-Secure, Сбербанк также напоминает, что нельзя пользоваться услугами сайтов, которые не поддерживают безопасный протокол оплаты при помощи дополнительной аутентификации. Доверять таким ресурсам нельзя и лучше воздержаться от покупок при отсутствии безопасной системы платежей.

Как подключить 3D-Secure в ВТБ 24

В ВТБ 24 3D-Secure подключается автоматически и является абсолютно бесплатной услугой, предоставляемой всем клиентам банка, имеющим карты выпущенные с 12 декабря 2016 года и новее. Всем остальным владельцам банковских карточек защитную функцию необходимо подключать самостоятельно. Есть два способа, как подключить 3D-Secure, ВТБ 24 на своем сайте детально разъясняет поэтапно процедуру активации услуги.

В первом варианте предлагается посетить любое отделение банка и, написав заявление, предоставить номер карты и номер мобильного телефона, которые будут совместно использоваться для аутентификации во время онлайн-платежей.

Второй вариант подключения предусматривает использование сервиса банкомата для самообслуживания. Для этого нужно войти в меню банкомата:

В ответ на вашу заявку о подключении защитной услуги, банк отправит подтверждающее SMS, в котором будет указано, что услуга для карточки активирована и связана с вашим номером мобильного телефона.

Если возникла необходимость сменить номер телефона, привязанный к карточке, можно его сменить при помощи меню банкомата. После отправки заявки о смене номера телефона для 3D-Secure, ВТБ отправит вам SMS с уведомлением об изменениях. Это является дополнительной мерой безопасности, и в случае, если вы не вносили изменения, рекомендуется незамедлительно посетить отделение банка и выяснить вопрос.

Зачем нужен 3D-Secure и как подключить?

Что такое 3D-Secure?

Что такое 3D-Secure на банковской карте

Технология 3D-Secure Visa и MasterCard

Как подключить 3D-Secure?

Как подключить 3D-Secure в Сбербанке

Как подключить 3D-Secure в ВТБ 24

Как происходит 3DS аутентификация

При оформлении заказа в интернет-магазине клиент вводит реквизиты карточки. После введения реквизитов открывается новое окно с логотипом банка-эмитента. В новом окне есть пустое поле, в которое нужно ввести одноразовый код (не путать с CVV2 и CVC2).

Последовательность состоит из 6 цифр, каждая из них генерируется отдельно. Поскольку услугой пользуются миллионы клиентов, последовательности цифр могут совпадать. Но каждый номер действителен для одной транзакции. Номер действует ограниченное время после его генерации.

Методы получения уникального кода:

При ошибке или задержке ввода платеж отклоняется. Система работает при оплате заказов с ПК, смартфонов, планшетов. Некоторые организации автоматически блокируют счета, если цифры введены неверно 3-5 раз подряд.

Видео на тему:

Многоразовый пароль

Некоторые банки выдают клиентам многоразовый пароль для подтверждения операций. Не стоит путать его с PIN Code. PIN используется для работы с банкоматом и оплаты покупок в магазинах. Пароль 3DS применяется для подтверждения онлайн платежей.

Использование многоразового пароля менее надежно, чем генерация одноразовых кодов. Один и тот же пароль злоумышленникам легче подсмотреть (или перехватить с помощью вредоносного ПО).

Как подключить 3D Secure

Технология 3DS аутентификации доступна владельцам дебетовых и кредитных карт VISA, MasterCard, МИР и т.д. Эта услуга предоставляется по умолчанию с 2016 года. Не нужно подключать ее в настройках личного кабинета. Отключить функцию по желанию клиента невозможно. Сбербанк, Тинькофф, ВТБ24 и другие банки подключают услугу автоматически.

Проверить, подключена ли услуга, можно на сайте любого интернет-магазина, где есть логотипы Verified by VISA, MasterCard SecureCode, МИР Accept. Если при оформлении заказа не приходит код, функция не подключена. Так бывает с продуктами непопулярных банков.

В личном кабинете

Вопрос, как подключить 3D Secure, редко бывает актуален. Но если ваш банк не предоставляет функцию по умолчанию, подключить ее можно в личном кабинете или мобильном приложении:

Трехдоменная аутентификация будет подключена к банковскому счету. За генерацию одноразовых кодов не взимается комиссия. Также подключить услугу можно в меню банкомата, в офисе банка, по горячей линии для держателей.

Банковский офис

Для подключения услуги следует прийти в банковское отделение с паспортом. Некоторые банки могут потребовать предъявить саму карточку. В других организациях это не требуется: сведения обо всех открытых счетах есть в базе данных.

Сотрудник организации выдаст форму заявления, которую следует заполнить и подписать. Услуга станет активной при совершении первой покупки в интернет-магазине, который поддерживает 3D Secure.

Меню банкомата

Прежде чем искать нужную функцию в меню банкомата, следует уточнить, поддерживает ли банк эту систему. Получить ответ можно, позвонив на горячую линию. Также эту информацию можно найти на сайте организации.

Если возможность подключения доступна, активировать функцию можно через банкомат. Для этой цели подойдет только банкомат эмитента. Как активировать функцию:

После подтверждения операции услуга будет активирована.

Возможные ошибки при 3D Secure авторизации

Описание ошибки	Возможные причины	Как исправить ошибку
Ошибка аутентификации	Неверно введены реквизиты	Проверьте правильность данных
Не поддерживается валюта платежа	Проверьте список доступных валют
Не приходит код	К счету привязан другой номер	Проверьте привязанный номер в личном кабинете на сайте банка
Ошибка на этапе генерации и отправки	Повторите попытку через несколько минут
Память телефона заполнена	Удалите старые SMS и повторите попытку
Плохая сотовая связь	Найдите место, где телефон стабильно ловит сеть
Введенный код не срабатывает	Ошибка при вводе данных	Проверьте номер и повторите ввод
Истек срок действия	Запросите генерацию нового кода
Не открывается поле для ввода, деньги списывают сразу	Интернет-магазин не поддерживает 3DS

Что такое Liability Shift (перенос ответственности)

3DS аутентификация не гарантирует полную безопасность счета. Например, если воры завладели и картой, и телефоном, они смогут вводить коды и списывать деньги со счета жертвы. Но если телефон остался при владельце, то использовать карточку будет сложнее. Перехватить отправленные коды можно с помощью вредоносного ПО, установленного на телефон жертвы.

Процедура Liability Shift применяется для переноса ответственности. Банк имеет право оспорить транзакцию при следующих условиях:

Чтобы вернуть деньги по Liability Shift, владелец карты должен обратиться в банк с заявлением и доказать, что он не совершал транзакции. Если банк сочтет требования убедительными, он может обязать интернет-магазин вернуть деньги. Но отменить платеж нельзя, если уникальный код был введен верно (даже если цифры ввел не владелец).

Технология 3DS аутентификации обеспечивает безопасность электронных переводов. Опция по умолчанию доступна держателям карт VISA, MasterCard, МИР и т.д. За использование услуги нет комиссии. При возникновении ошибок при аутентификации следует проверить реквизиты и номер телефона.

Источник

9 секретов онлайн-платежей. Часть 1: настройка 3-D Secure

Российский рынок e-commerce живет в условиях кризиса, сейчас то время, когда одной из ключевых задач для успешного «выживания» является настройка всех «винтиков» механизма вашего сайта. Один из таких «винтиков» — это сервис приема онлайн-платежей на сайте. При правильном подходе он может стать фактором успеха, а при неверном использовании — привести к серьезным проблемам. В данном выпуске, первом из серии «9 секретов онлайн-платежей», содержащей восьмилетний опыт работы команды PayOnline, мы поделимся правилами настройки протокола 3-D Secure для успешной обработки платежей на вашем сайте.

Краткий экскурс в историю вопроса

Создатель протокола 3-D Secure (3DS) – международная платежная система Visa (программа Verified by Visa). 3DS поддерживается ключевыми мировыми платежными системами: MasterCard SecureCode и J/Secure от JCB International.

Основная задача 3DS – защитить плательщиков и предприятия от мошенников. Поддержка протокола 3DS практически ликвидирует опасность совершения мошеннических операций с помощью банковской карты, так как является ещё одним способом подтверждения личности плательщика.

Почему 3-D Secure так называется? В обработке платежа с использованием протокола 3DS участвует три домена (3D), на которых создаются и проверяются транзакции (платежные операции по банковским картам): домен эквайера, домен эмитента и домен взаимодействия.

Как это работает?

80% банковских карт в России подписаны на протокол 3-D Secure. 30 миллионов россиян совершают покупки в Интернете. Значит, более 24 миллионов россиян хотя бы раз проходили через процесс авторизации платежа с помощью 3DS. Как это происходит с точки зрения плательщика?

Человек оформляет заказ на сайте, нажимает «Оплатить» и, заполнив платежную форму, попадает на страницу, расположенную на домене банка-эмитента (банка, выпустившего карту), для ввода уникального кода проверки.

Код в большинстве случаев поступает в виде SMS, иногда используются другие механизмы (набор кодов на карте, уточнение кода по телефону в банке и т.д.). Всё, что нужно сделать плательщику – ввести код в соответствующее поле и закончить процедуру оплаты.

С точки зрения интернет-магазина всё не так просто. Не все банковские карты в России подписаны на 3DS: ряд банков просто не поддерживает протокол, в некоторых банках решение о подключении услуги 3DS авторизации принимает плательщик. Таких карт – около 20% от общего числа. России было выпущено более 220 миллионов карт, по полторы карты на человека. Конечно, стоит учитывать, что люди, совершающие покупки в интернете, стараются защитить себя, а карты без 3DS в основном выпускаются в рамках зарплатных, пенсионных, стипендиальных проектов.

Но, все-таки, в аудитории каждого коммерческого сайта есть клиенты с картами, не подписанными на 3DS (их доля зависит от типа бизнеса компании, географии ее работы и других факторов). Нужно принять решение о том, как работать с этими клиентами, как настроить протокол 3-D Secure.

Именно здесь интернет-магазин сталкивается с вопросом безопасности и необходимостью оценки рисков. Пропускать все транзакции подряд – шаг рискованный, можно «нарваться» на мошенников, получить чарджбэки и потерять заметную часть прибыли. С другой стороны, отклонять платежи по картам, не подписанным на 3DS, значит терять лояльных клиентов и собственную прибыль.

Компромисс между безопасностью и конверсией

Настройка 3D-Secure на сайте – дело «тонкое». Она требует понимания уровня рисков в том сегменте интернет бизнеса, в котором работает компания.

Full 3DS

Full (полный) 3DS – это базовая настройка протокола 3DS, рекомендованная международными платежными системами. Эта настройка минимизирует риск возникновения мошеннических операций и, соответственно, вероятность чарджбэков и финансовых рисков для компании.

Как это работает? Очень просто. Платежи одобряются только после прохождения авторизации с помощью протокола 3DS. Действует для всех карт без исключения. Все транзакции проходят по протоколу 3DS.

Если проверка по 3DS на стороне эмитента не работает или карта не подписана на 3DS, транзакция пройдет только с согласия эмитента, в противном случае будет отклонена.

Такая настройка протокола соответствует международным стандартам безопасности и минимизирует уровень рисков возникновения мошеннических операций. В рамках нашего базового коробочного платежного решения Pay-Start (решение разработано для сайтов с оборотом до 30 тысяч рублей в сутки), используется только базовая, Full, настройка протокола 3DS. Это обеспечивает небольшим компаниям практически полную безопасность при приеме платежей. Платежный сервис несет ответственность за безопасность платежей и никогда не порекомендует клиенту «поставить себя под удар» мошенников.

Однако, в случае с крупным бизнесом, вопрос увеличения конверсии становится настолько критичным, что может заставить предпринимателя пойти на уступки в отношении безопасности. В этой ситуации часть или все платежи по банковским картам обрабатываются без проверки с помощью 3DS. Это касается минимальной и двухступенчатой настроек протокола.

Минимальный 3DS

Минимальные настройки протокола 3DS позволяют проверить карты, подписанные на 3DS, а остальные пропустить без проверки (точнее с проверкой – но с помощью других инструментов системы безопасности, так называемых фильтров безопасности).

Двухступенчатый 3DS

Эта настройка протокола 3DS похожа на минимальную, но имеет одно существенное отличие. В этом случае все запросы на одобрение транзакций направляются в банк-эмитент по протоколу 3DS. И банк-эмитент принимает решение о возможности проведения транзакции, если карта плательщика не подписана на протокол 3DS. Если банк отклоняет транзакцию, она направляется на проверку повторно, но уже не по протоколу 3DS.

Можно пойти дальше и выбрать один из трех возможных вариантов, настроив 3-D Secure ещё «тоньше», учитывая тип бизнеса и географию стран, в которых представлены интересы компании. Например, включить 3DS для определенных стран или заданного типа карт, а также в зависимости от различных параметров платежа — суммы, географии плательщика и т.д.

Нужно еще раз отметить, что минимальный и двухступенчатый 3DS при непрофессиональном использовании могут повысить уровень риска возникновения мошеннических операций и, соответственно, финансовых потерь. В общем, настройка 3DS – это совсем не игрушка.

Перед изменением настроек протокола проводится совместный анализ аудитории и специфики бизнеса компании (средний «по больнице» уровень рисков в данном сегменте, география приема платежей, размер среднего чека и т.д.). Анализ проводится специалистами платежного сервиса при участии представителей компании клиента. По результатам проведенного анализа предоставляются рекомендации по возможности изменения настроек и сопряженному с ними уровню рисков. Финальное решение принимает клиент, так как он берет на себя ответственность за возможность возникновения мошеннических операций. Стоит отметить, что изменения чаще всего внедряются в случае, если нет серьезных опасений о появлении фрода.

Что же делать?

Здесь встает вопрос, по какой же схеме удобнее, выгоднее и безопаснее работать интернет-магазину или другому сервису, принимающему платежи онлайн?

Единственная слабость Full 3DS очевидна – платежи по картам, не подписанным на 3DS (в России их около 20% и их число постоянно уменьшается), будут отклоняться. Такие карты обычно эмитируются банками, не входящими в ТОП-50, зачастую региональными. Главным плюсом же является практически полная безопасность: в соответствии с установленными международными платежными системами правилам ответственность за операции, обработанные по протоколу 3DS, несет банк-эмитент (банк, выпустивший карту).

Выбирая двуступенчатый или минимальный 3DS, интернет-магазин берет на себя риски, связанные с возможностью возникновения фрода (мошеннических операций). Однако, при профессиональном анализе рисков, тонкой настройке системы фрод-мониторинга на стороне платежного партнера доля успешных транзакций заметно увеличивается, иногда на десятки процентов.

От теории к практике

Рассмотрим кейс одного из наших клиентов, авиабилетного агентства «Посошок» (pososhok.ru). Оборот компании в 2013 году составил 4,5 млрд. рублей, на сегодняшний день компания может похвастаться полутора миллионами обслуженных пассажиров.

В марте 2014 года компания столкнулась с проблемой: авторизация покупателей с помощью протокола 3-D Secure давала высокую степень защиты, но перед компанией стояла задача увеличить конверсию в оплаты: одобрялось лишь 79% транзакций.

На тот момент использовалась двустадийная авторизация платежей. Первая стадия авторизации проводилась по протоколу 3D-Secure. Если платеж совершался с карты, не подписанной на 3DS, на второй стадии авторизации проверка выполнялась системой мониторинга мошеннических операций PayOnline (о ней будет рассказано подробнее в следующих статьях) на основании настроек её фильтров.

Проанализировав аудиторию покупателей, ядро которой составляли россияне, специалисты «Посошка» совместно с консультантом PayOnline приняли решение об изменении настроек безопасности для платежей из России, совершаемых картами, эмитированными в России. Для таких платежных операций была отключена авторизация по протоколу 3DS. Их проверяла система мониторинга мошеннических операций PayOnline, каждый из 154 фильтров, которой был настроен в соответствии со спецификой бизнеса «Посошка». Для остальных типов транзакций продолжала применяться авторизация по 3DS.

Результат не заставил себя долго ждать: уже через полгода конверсия «взлетела» до 91%, и продолжала расти.

При этом количество «чистых» операций, отклоненных системой мониторинга за этот период, можно пересчитать по пальцам – и все они впоследствии были идентифицированы и проведены вручную. А благодаря профессионализму специалистов, занимавшихся настройкой протокола 3DS, изменения не сказались на уровне безопасности.

В следующем выпуске мы расскажем, как привязать клиента к своему сервису при помощи регулярных платежей, что это такое, какие вопросы на этапе подключения могут возникнуть у вас, а в процессе использования – у плательщиков, и какой «профит» ожидает в результате. Если вы хотите подключить и настроить платежи, обращайтесь, наши специалисты помогут вам в этом.

Источник