CVV и CVC — код безопасности банковской карты¶
CVV (Card Verification Value) и CVC (Card Verification Code) — трёхзначный код безопасности, наносимый на платёжные карты платёжных систем Visa и Mastercard соответственно. Код используется для подтверждения подлинности карты при дистанционных операциях — в интернет-магазинах, по телефону и при заказе товаров и услуг без предъявления физической карты. В русскоязычной разговорной речи оба термина часто употребляются как синонимы, хотя формально они относятся к разным платёжным системам.
¶Назначение и расположение
CVV/CVC — это трёхзначное число, которое служит средством аутентификации держателя карты. В отличие от PIN-кода, который используется для идентификации при операциях с предъявлением карты (снятие наличных, оплата в терминале), код безопасности применяется при дистанционных транзакциях, когда физический контакт с картой невозможен.
Код расположен на обратной стороне карты, в поле подписи (специальной серой или белой полосе), обычно справа от подписи держателя. На картах American Express (система Amex) код состоит из четырёх цифр и размещён на лицевой стороне, над номером карты.
¶Отличия CVV, CVC и CVC2
Платёжные системы используют несколько обозначений кода безопасности:
| Обозначение | Платёжная система | Расположение | Длина |
|---|---|---|---|
| CVV / CVV2 | Visa | Обратная сторона, поле подписи | 3 цифры |
| CVC / CVC2 | Mastercard | Обратная сторона, поле подписи | 3 цифры |
| CID | American Express | Лицевая сторона | 4 цифры |
| CAV2 | JCB | Обратная сторона | 3 цифры |
Суффикс «2» в обозначениях CVV2 и CVC2 означает второе поколение кода безопасности, внедрённое в 1990-х годах взамен устаревшего CVV1, который хранился на магнитной полосе и считывался терминалом.
¶Принцип работы
При проведении дистанционной операции продавец запрашивает у покупателя номер карты, срок действия, имя держателя и код безопасности. Эти данные передаются в платёжную систему, которая сверяет их с информацией, хранящейся у эмитента карты (банка, выпустившего карту). Если код совпадает, транзакция получает подтверждение; в противном случае она отклоняется.
Важно, что код безопасности не является секретом в полном смысле слова: он не шифруется и передаётся в открытом виде вместе с остальными данными карты. Его защитная функция ограничена тем, что для проведения операции злоумышленнику нужны одновременно номер карты, срок действия и код — то есть данные, которые невозможно получить одним запросом.
¶Безопасность
Основные риски, связанные с CVV/CVC:
- Фишинг — получение данных карты через поддельные сайты, письма и звонки под видом банков или интернет-магазинов.
- Скимминг — считывание данных карты с помощью накладных устройств на банкоматах и терминалах.
- Утечки баз данных — хищение информации о картах из баз продавцов, которые не соблюдают стандарты безопасности PCI DSS.
Платёжные системы и банки запрещают продавцам хранить код безопасности после завершения транзакции. Стандарт PCI DSS (Payment Card Industry Data Security Standard) требует от организаций, обрабатывающих данные карт, маскировать или не сохранять CVV/CVC.
¶Рекомендации по защите
- Не сообщать код безопасности по телефону, если инициатива исходит от звонящего, а не от держателя карты.
- Проверять адрес сайта перед вводом данных карты — платёжные страницы защищены протоколом HTTPS.
- Использовать виртуальные карты для разовых интернет-покупок.
- Отключать функцию сохранения данных карты на сайтах.
- Немедленно блокировать карту при подозрении на компрометацию — через мобильное приложение банка или по телефону горячей линии.
¶Регулирование в России
В российских банках код безопасности, как правило, не используется при подтверждении операций в интернет-банке и мобильном приложении — вместо него применяются одноразовые пароли (СМС-коды) или push-уведомления. При этом данные CVV/CVC всё равно запрашиваются продавцом при оплате картой на зарубежных сайтах.
С 2015 года в России действует правило обязательного подтверждения дистанционных операций с картами (3-D Secure), при котором держатель карты дополнительно вводит одноразовый код, отправленный банком.
Источники:
- Платёжная система Visa. Описание кода безопасности CVV2
- Платёжная система Mastercard. Стандарты безопасности CVC2
- PCI Security Standards Council. Payment Card Industry Data Security Standard
- Банк России. Инструкция по защите информации при проведении операций с банковскими картами
- American Express. Описание кода безопасности CID