Вопрос к Сбербанку - платежи с банковской карты без подтверждения
На прошлой неделе понадобилось мне купить в рекламных целях пару изображений с одного иностранного сайта, торгующего стоковыми фото. Ну никак не получалось без них сделать важную презентацию с вау-эффектом.
Решил оплатить с карты, регистрируюсь на сайте, ввожу данные карты, нажимаю "оплатить"... та-дам. Вместо привычной СМС с кодом подтверждения платежа приходит СМС об успешной оплате и списании денег. Нет, деньги попали по назначению и фото были успешно получены.
Но факт отсутствия подтверждения платежа настораживает. Получается, что в системе подтверждения платежа по СМС есть явная дыра, позволяющая без проблем опустошить утерянную карту через иностранные сайты. Запрос в гугле показал, что аналогичная фигня бывает при покупках на AliExpress и Amazon.
@Sberbank, не прокомментируете ситуацию?
Последствия введения 3D Secure 2.0. Это новый протокол безопасного подтверждения транзакций в интернете, там появилась возможность для эмитента на основании собственных оценок решать, насколько данная конкретная операция типична для данного клиента и является безопасной. В случае если оценка риска низкая, операция авторизуется без дополнительного подтверждения разовым кодом. То есть в практическом смысле это означает, что добропорядочный клиент, используя карту в интернет-магазине, где он закупался уже не один раз, вполне вероятно что получит одобрение операции без дополнительного ввода пароля из СМС-сообщения. Ответственность за такое решение перекладывается на эмитента карты - банк, который карту выпустил и операцию одобрил.
На текущий момент на технологию 3DS2 переведены уже 136 российских банков.
С другой стороны, если это некий иностранный сайт, на котором вы ещё ни разу свою карту не использовали, есть вероятность, что там тупо не подключена возможность подтверждения по 3D Secure (а это опция, которая покупается у платёжной системы и стоит определённых денег). На Западе иногда несколько проще относятся к безопасности.
Это проблема не банка а сайта. Они не подключили платежи с 3dsecure.
на сайте не подключен 3dsecure... И к банку это никакого отношения не имеет, ИМХО
да, на алишке все точно также, нажал оплатить деньги ушли....
Если сайт не использует сертификат pci dss (как Али или Joom), то хранить данные карт он не может и есть такая штука, как токенизация - запоминание данных карты по токену (маска карты).
Например в Али вы привязывает карту в ЛК, так же происходит во всяких других сервисах, Аля каршеринг, например.
Так вот первую транзакцию вы проводите с 3ds - с подтверждением платежа по смс, а вот то при последующих покупках вас уже идентифицируют по токену, то есть карту уже знают и списание уже идёт без cvv. Делается это для увеличения конверсии общего потока.
На других ресурсах таких как пополнение транспортных карт или мобильной связи, может вообще изначально быть только по non3ds канал активен.
Но нужно понимать, что в таком случае все риски будут на поставщике услуги а не на банке эквайере или тем более эмитенте. И такие компании идут в эту историю абсолютно осознанно.