CVC и CVV на карте: что это и когда нельзя сообщать код
CVC/CVV представляет собой защитный код банковской карты, который используют для дополнительной проверки её данных при оплате без предъявления пластика. Обычно это три цифры на обороте, хотя расположение и формат зависят от карты. У цифровой карты код может быть доступен в банковском приложении.
Найти эти цифры обычно проще, чем разобраться, кому их можно доверить. При собственной интернет-покупке код бывает нужен в платёжной форме. Если человек просит прислать его ради перевода, возврата или защиты денег, остановитесь: название услуги не объясняет, зачем ему ваш секрет.
- CVC, CVV и CVP служат для аналогичной проверки карты в разных платёжных системах.
- Для получения перевода код не нужен. Не отправляйте его человеку, который обещает перечислить деньги.
- Перед собственной оплатой проверьте адрес сайта, продавца и сумму.
- Повторный платёж может пройти без нового ввода кода и отдельного подтверждения.
- Если код раскрыт постороннему, заблокируйте карту и обратитесь в банк, не дожидаясь списания.
Зачем карте нужен CVC или CVV
При интернет-оплате продавец не получает физическую карту. Защитный код позволяет дополнительно проверить данные, которыми пользуется покупатель. При этом код не удостоверяет продавца: наличие поля CVC/CVV на странице ничего не говорит о том, кому вы передаёте реквизиты.
Разница в буквах связана с платёжной системой. Для держателя карты у этих обозначений близкий практический смысл: короткий код для проверки при оплате без предъявления карты. В описаниях и формах встречаются как сокращённые, так и более полные названия.
| Обозначение защитного кода | Платёжная система |
|---|---|
| CVV или CVV2 | Visa |
| CVC или CVC2 | Mastercard |
| CVP или CVP2 | Мир |
Различие названий не меняет обращения с кодом. CVP карты Мир требует такой же осторожности, как CVC или CVV. Само обозначение также не позволяет судить о том, где конкретная карта будет работать: это зависит от условий её использования.
Смотрите на код как на секретные данные для определённой операции. Он помогает проверить карту, но не объясняет, почему возник платёж, кто его начал и верна ли сумма. Ответить на эти вопросы нужно до ввода реквизитов.
Где посмотреть код и с чем его не перепутать
Сначала найдите реквизиты своей карты на пластике или в банковском приложении. Если привычных цифр нет, не подставляйте вместо них ПИН или пароль из сообщения. У разных кодов разные задачи, и замена одного другим не решает проблему.
На пластике и у цифровой карты
На пластиковой карте защитный код обычно напечатан на обороте рядом с полем для подписи. Часто он состоит из трёх цифр. Это распространённое оформление, а не обязательный образец для каждой карты.
У цифровой карты без пластика реквизиты можно посмотреть в приложении, если банк их показывает. Единого пути по меню нет. Найдите сведения о нужной карте; если код недоступен или непонятно, какие данные перед вами, уточните это в банке.
Отсутствие напечатанного кода само по себе не позволяет признать всю карту недействительной. Вопрос о доступных способах оплаты лучше задать банку, выпустившему её. Не просите незнакомого человека определить код по фотографии и не отправляйте ради этого обе стороны карты.
ПИН карты и одноразовый пароль
ПИН карты не нужен для интернет-оплаты. Его вводят в терминале или банкомате, когда операция требует такого подтверждения. Если сайт просит именно ПИН банковской карты, прекратите ввод данных. Это не другое название CVC/CVV.
Одноразовый пароль из СМС или подтверждение в приложении относятся к отдельному этапу операции, если банк его запрашивает. Такой пароль не заменяет защитный код, указанный в реквизитах. Проверяйте, какую операцию вам предлагают подтвердить, и не сообщайте пароль человеку в разговоре.
Не ориентируйтесь только на длину цифровой комбинации. Прочитайте, какой код запрашивает платёжная форма и для чего банк прислал сообщение. Не подставляйте ПИН или одноразовый пароль в поле CVC/CVV. Если назначение непонятно, остановите оплату и уточните его через банк.
Что проверить перед вводом кода при покупке
Начните с самой покупки: вы выбрали товар или услугу, знаете продавца и понимаете, сколько собираетесь заплатить. Банк России рекомендует указывать карточные реквизиты только при покупках на проверенных сайтах. Это рекомендация для конкретной ситуации, а не гарантия безопасности любой страницы с платёжной формой.
Перед вводом кода полезно последовательно проверить:
- Адрес сайта. Убедитесь, что открыли нужный ресурс. Не считайте ссылку из неожиданного сообщения подтверждением того, что перед вами знакомый магазин.
- Продавца. Посмотрите, кому предназначен платёж. Если название неожиданное и вы не понимаете его связи с покупкой, сначала выясните причину.
- Сумму. Сопоставьте стоимость заказа с тем, что указано в форме и банковском подтверждении, если оно появилось. При расхождении не подтверждайте операцию.
Условный пример: вы оформляете заказ, а на следующем экране видите другую сумму. Просьба сначала подтвердить, а затем исправить платёж не устраняет расхождение. Остановитесь и выясните условия покупки, прежде чем продолжать.
После проверки CVC/CVV вводят в соответствующее поле при собственной оплате. Пересылать его сотруднику магазина для помощи с оформлением не следует. Самостоятельный ввод в форму и сообщение человеку требуют разной оценки: в первом случае вы проверяете конкретную покупку, во втором отдаёте секрет собеседнику.
Даже знакомый вид страницы не отменяет проверки. Если во время оплаты вас начинают торопить, просят диктовать реквизиты или подтверждать непонятную операцию, сделайте паузу. Возможность завершить заказ позже полезнее, чем подтверждение суммы, с которой вы не согласны.
Когда нельзя передавать CVC/CVV
Оцените цель запроса и направление денег. Отправителю перевода на вашу карту защитный код получателя не нужен. Обещание вернуть деньги или отменить списание также не повод диктовать код в чате либо вводить его по ссылке незнакомца.
| Что происходит | Как поступить с CVC/CVV |
|---|---|
| Вы сами оплачиваете выбранную покупку | Вводить только после проверки сайта, продавца и суммы, если способ оплаты требует кода |
| Человек собирается перевести вам деньги | Не передавать: для зачисления перевода код получателя не нужен |
| В чате обещают оформить возврат за покупку | Не отправлять код и не вводить по присланной незнакомцем ссылке; проверить обращение через официальный канал |
| Звонящий предлагает отменить списание | Не диктовать код; самостоятельно связаться с банком |
| Человек представляется сотрудником банка и просит код | Завершить разговор и обратиться в банк по официальному номеру |
| Сайт предлагает проверить, утекли ли реквизиты | Не вводить код на сомнительной странице; проверить ситуацию через банк |
Для зачисления денег могут использоваться номер карты, номер телефона для перевода через Систему быстрых платежей (СБП) или реквизиты банковского счёта, в зависимости от способа перевода. CVC/CVV к данным для получения перевода не относится. Речь именно о входящем переводе, а не об отправке денег с вашей карты через платёжный сервис.
При возврате покупки проверяйте обращение через известный вам канал магазина или банка. Здесь не нужно угадывать техническую процедуру возврата. Достаточно отказаться от передачи секрета постороннему и самостоятельно выяснить, какое действие требуется от вас.
Банк России отдельно описывает схему с предложением проверить утечку данных. Страница предлагает защиту, но просит ввести реквизиты, включая код карты. Такая проверка сама становится способом получить секретные данные.
Почему покупка бывает без нового ввода CVC/CVV
Не каждая интернет-операция требует повторного ввода кода. Это зависит от способа оплаты, продавца и банка. Поэтому отсутствие поля CVC/CVV само по себе не доказывает ни ошибку магазина, ни согласие владельца карты на конкретное списание.
Сохранённая карта и повторный платёж
Сервис может сохранить способ оплаты, чтобы вы пользовались им снова. Повторная покупка или регулярное списание при этом могут пройти без нового CVC/CVV. Из этого нельзя заключить, что продавец запомнил код и теперь использует его при каждом платеже.
PCI DSS является стандартом защиты данных платёжных карт. По его требованиям продавцу и обслуживающему его поставщику платёжных услуг нельзя хранить проверочный код после авторизации, то есть одобрения операции. Запрет действует даже при шифровании данных и согласии покупателя.
Для повторных платежей по ранее сохранённой карте хранение CVC/CVV не требуется. Поэтому предложение запомнить способ оплаты не означает, что продавцу разрешено оставить у себя и защитный код. Согласие сохранить карту не отменяет этого ограничения стандарта.
Требование здесь относится к продавцу и обслуживающему его поставщику. Его нельзя превращать в утверждение, что банк, выпустивший карту, никогда не хранит такие данные. Рекомендации вам как держателю карты также следует отличать от требований PCI DSS к обработке платежей.
Почему нельзя рассчитывать только на СМС
Дополнительное подтверждение паролем из СМС или через приложение бывает не при каждой оплате. Поэтому ожидание, что без вашего одноразового пароля посторонний заведомо ничего не сможет сделать, не даёт достаточного основания игнорировать раскрытие реквизитов.
Различайте подтверждение и уведомление. Первое запрашивают для проведения операции, второе сообщает о списании. Возможность платежа без отдельного подтверждения не означает, что уведомлений о движении денег не будет.
Отсюда практический вывод: если защитный код попал постороннему, отсутствие запроса на подтверждение не доказывает сохранность денег. Это не означает, что кража обязательно произойдёт. Но ждать СМС перед обращением в банк не нужно.
Как беречь код между покупками
Сократите число мест, где остаётся копия защитного кода. Не отправляйте его в переписку, не сохраняйте в общедоступных заметках, снимках экрана и облачных папках. Фотография обеих сторон карты тоже может раскрыть реквизиты, поэтому пересылать её для помощи с оплатой не следует.
Удобство быстрого доступа не требует хранить секрет рядом с перепиской о заказе. Если реквизиты доступны в банковском приложении, смотрите их там по мере необходимости. Так вам не придётся разыскивать код среди сообщений и решать, кому ещё доступен этот снимок.
Для интернет-покупок можно использовать отдельную карту с лимитом и держать на ней деньги под запланированные платежи. Это уменьшает возможный ущерб, но не делает передачу кода безопасной. Доступность и параметры ограничений зависят от банка.
При выборе такой карты проверьте условия обслуживания и настройки интернет-платежей. Разбор того, как выбрать дебетовую карту, поможет оценить её расходы и возможности без предположения, что у всех банков одинаковые ограничения.
Включите доступные уведомления об операциях. Они помогают заметить незнакомое списание и быстрее обратиться в банк. Лимит ограничивает расходы, уведомление помогает обнаружить операцию, а отказ от пересылки кода уменьшает его распространение. Ни одна из этих мер не обещает полной защиты.
Если CVC/CVV уже увидел посторонний
Раскрытие кода уже требует реакции, даже если баланс не изменился. Так стоит поступить, когда вы отправили реквизиты человеку или ввели их на подозрительной странице. Не нужно сначала доказывать, что получатель намерен воспользоваться данными.
Списаний пока нет
- Заблокируйте карту доступным способом. Если банк позволяет временно отключить интернет-покупки, используйте эту настройку как немедленную меру и свяжитесь с банком.
- Самостоятельно обратитесь в банк, выпустивший карту. Расскажите, где ввели код и какие ещё данные могли стать известны постороннему.
- Проверьте последние операции и обсудите перевыпуск карты. Отсутствие потерь сейчас не устраняет факт раскрытия реквизитов.
Удаление сообщения с кодом не заменяет обращения в банк: оно не позволяет убедиться, что получатель не сохранил данные. Смена ПИН также не даёт основания считать раскрытый CVC/CVV заменённым. Дальнейший порядок согласуйте с банком.
Появилась незнакомая операция
Как можно скорее сообщите банку о списании и заблокируйте карту, если ещё не сделали этого. Банк России рекомендует получить выписку, подать заявление о несогласии с операцией и обратиться в правоохранительные органы.
Раскрытие реквизитов и уже совершённое списание требуют разного продолжения: при списании важно сообщить не только об утечке, но и о самой операции. Возврат денег нельзя обещать заранее. Если деньги уже ушли мошенникам, дальнейший порядок разобран в статье о действиях после перевода мошенникам.