3D-Secure — технология защиты онлайн-платежей по карте
Что такое 3D-Secure простыми словами
3D-Secure — это современная технология дополнительной аутентификации владельца карты при совершении онлайн-платежей. Она обеспечивает надежную защиту онлайн-платежей в интернете, когда совершается покупка без физического предъявления пластика (CNP-операции).
Когда вы совершаете онлайн-оплата, недостаточно просто ввести реквизиты карты (номер, срок действия и CVV/CVC-код). Система требует обязательное подтверждение платежа от первоисточника. Банк-эмитент автоматически отправляет специальный одноразовый пароль или код в SMS-сообщении либо через push-уведомление. Только после ввода этих цифр интернет-магазин списывает деньги.
Главная задача, которую решает 3D-Secure — это эффективная защита ваших средств. Если третьи лица узнали данные пластиковой карты, они все равно не смогут совершить мошеннические операции, так как у них нет доступа к вашему телефону.
Ключевые факты о технологии:
Абсолютно бесплатно. Сервис всегда предоставляется клиентам без комиссий.
Отраслевой стандарт. Технологию поддерживают все крупные банки и системы МИР, Visa, Mastercard.
Только для интернета. Безопасность работает исключительно при покупках в сети.
Не нужна в офлайне. При оплате через терминал по чипу или бесконтактно код не требуется.
Что означает термин Three Domain Secure
Аббревиатура «3D» в названии технологии означает Three Domain Secure (три домена безопасности). Эта расшифровка напрямую отражает архитектуру системы. Взаимодействие трёх независимых участников обеспечивает многоуровневую проверку транзакции.
Название описывает три домена, которые участвуют в обработке каждой интернет-покупки:
Домен эмитента. Это банк, выпустивший карту покупателя. На его стороне работает Access Control Server (ACS). Эмитент аутентифицирует держателя, отправляет одноразовый код и принимает финальное решение о подтверждении платежа.
Домен эквайера. Это финансовая организация, обслуживающая конкретный интернет-магазин. Торговая площадка инициирует запрос к банку через модуль Merchant Plug-in (MPI). Эквайер принимает эти данные от мерчанта и передаёт их дальше по цепочке.
Домен совместимости. Это центральная инфраструктура, которая связывает эмитента и эквайера. Сюда входят серверы, которые предоставляет международная или национальная платёжная система, а также единые протоколы маршрутизации и шифрования данных.
Технически данный протокол безопасности реализован как специализированный XML-протокол поверх стандартных платёжных сетей.
Исторически технология была разработана американской компанией Visa в начале 2000-х годов под коммерческим брендом Verified by Visa. Позже концепцию приняли другие гиганты индустрии, включая Mastercard и JCB. В России для карт национальной платёжной системы работает собственная технологическая реализация под названием МИР Accept от НСПК.
Как работает технология 3D Secure
Основной принцип работы 3d secure заключается в том, что технология добавляет к стандартному процессу оплаты картой дополнительный шаг — подтверждение операции у финансовой организации, выпустившей карту. Этот механизм задействуется исключительно для оплат в интернете, когда проводится CNP-операция (card not present) без физического считывания чипа.
Стандартная интернет-оплата включает следующие этапы:
Ввод реквизитов карты. Покупатель выбирает товар и указывает на сайте продавца номер карты, срок действия и защитный CVV/CVC-код.
Передача запроса. Магазин мгновенно передает полученные платежные данные своему банку-эквайеру.
Запуск протокола и редирект. Эквайер через платежную систему активирует протокол защиты. В этот момент происходит автоматическое перенаправление покупателя, и перед ним открывается защищенная страница банка-эмитента.
Отправка уведомления. Банк-эмитент генерирует одноразовый пароль (OTP) и отправляет его держателю. В сообщении всегда четко прописаны итоговая сумма списания и название магазина.
Ввод данных. Покупатель вводит полученный одноразовый код в специальное поле или одобряет операцию иным способом.
Завершение транзакции. Банк проводит сопоставление данных. После успешной аутентификации пользователя происходит обратный редирект на сайт продавца, и деньги окончательно списываются.
Современная многофакторная аутентификация предлагает разные способы подтверждения 3d secure. Самый старый и привычный формат — это sms-код 3d secure, состоящий из 4–6 цифр. Однако классический sms-код технически уязвим к перехвату данных злоумышленниками и атакам типа SIM-swap. Более надежной альтернативой выступает push-уведомление 3d secure, которое мгновенно приходит в официальное мобильное приложение банка. Этот канал передачи данных зашифрован и намного безопаснее, чем SMS. Часто внутри push-подтверждения используется современная биометрия 3d secure. В таком случае покупателю не нужно вводить символы вручную — достаточно применить отпечаток пальца (touch id) или сканирование лица (face id).
Различия версий протокола 3D Secure 1.0 и 3D Secure 2.0
Основные отличия 3D Secure 1.0 и 2.0 заключаются в технологическом подходе к проверке транзакций. Рассмотрим их главные характеристики:
Способ подтверждения: В версии 1.0 от клиента всегда требовался ручной ввод кода, что затягивало покупку. Современная версия позволяет проводить оплату незаметно для покупателя.
Анализ риска: Старая архитектура не оценивала параметры транзакции. В 2.0 встроенный интеллектуальный модуль Risk Engine детально изучает каждую операцию.
Передаваемые данные: Версия 1.0 передавала минимальный набор информации. Спецификация 2.0 отправляет банку более 100 параметров, включая подробные данные устройства, ip-адрес, геолокацию и накопленную историю транзакций.
Поддержка мобильных приложений: Старый протокол имел слабую интеграцию и некорректно отображал платежные страницы на смартфонах. Версия 2.0 обеспечивает нативную поддержку через специальные 3DS SDK, открывая платежную форму прямо внутри интерфейса приложения.
Инструменты аутентификации: В 1.0 использовались только ручной ввод кода из SMS или постоянный пароль. В 2.0 к ним добавились зашифрованные push-уведомления и современная биометрия.
Скорость операции: Из-за долгого ожидания сообщений в 1.0 оплата занимала 30–60 секунд. Обновленный протокол снизил это время до диапазона от мгновенной фоновой проверки до 30 секунд.
Как подключить 3D-Secure для своей карты
В большинстве российских банков технология 3D-Secure активируется автоматически при выпуске карты. Никаких дополнительных действий от клиента не требуется. Такая автоматическая активация услуги по умолчанию настроена в Сбербанке, ВТБ, Т-Банке (Тинькофф), Альфа-Банке, Газпромбанке, Райффайзенбанке и других крупных финансовых организациях РФ.
Для корректной работы защитного сервиса необходимо соблюдать три основных условия:
К банковскому продукту должен быть жестко привязан актуальный номер телефона.
Текстовые сообщения от отправителя не должны блокироваться оператором связи или спам-фильтрами.
Для получения push-подтверждений должно быть установлено официальное мобильное приложение банка с разрешенным выводом оповещений.
Если автоматическая активация не выполнена, вам доступны следующие способы подключения:
Включить через приложение — зайдите в мобильный банк, откройте настройки карты, найдите и переведите в активный режим тумблер «Подключить 3D-Secure».
Интернет-банк — авторизуйтесь в личном кабинете через браузер, перейдите в параметры безопасности карточного счета и активируйте опцию.
Подключить через банкомат — вставьте пластик в терминал самообслуживания, введите ПИН-код, выберите меню «Прочие операции» или «Безопасность», найдите пункт «3D-Secure» и нажмите «Подключить».
Подключить в отделении — посетите ближайший офис организации с паспортом, и отделение банка примет от вас заявление на привязку услуги к счету.
Горячая линия — совершите звонок в службу поддержки, пройдите верификацию личности, после чего служба поддержки активирует функцию дистанционно.
При ручном способе активация 3d secure происходит практически мгновенно или занимает от 1 до 2 часов. Сама услуга всегда предоставляется клиентам абсолютно бесплатно.
Преимущества и недостатки 3D-Secure
Основные преимущества:
Защита от мошенников. Кардинальное снижение риска несанкционированных списаний по карте в сети интернет.
Доступность. Абсолютная бесплатность услуги для каждого держателя банковской карты.
Универсальность. Полная поддержка со стороны всех крупных платежных систем и ведущих банковских организаций.
Современный комфорт. Высокая скорость оплаты и максимальное удобство в версии 2.0 за счет фоновой аутентификации и биометрии.
Стандартизация. Строгое соответствие жестким требованиям ЦБ РФ и актуальным международным стандартам финансовой безопасности.
Автоматизация. Защитный барьер работает по умолчанию сразу после выпуска пластика, пользователю не нужно ничего настраивать вручную.
Несмотря на очевидные достоинства, у системы существуют определенные ограничения технологии:
Сетевой барьер. Прямая зависимость от мобильной связи или интернета — при плохом сигнале или в роуминге код подтверждения просто не придет.
Технические риски. Известная уязвимость классических SMS-кодов к перехвату данных злоумышленниками и опасным SIM-swap-атакам.
Зона покрытия. Далеко не все интернет-магазины (особенно мелкие региональные или зарубежные сервисы) поддерживают данный протокол.
Физический доступ. Технология не защищает от кражи денег в случаях, когда мошенники получили прямой доступ к разблокированному телефону жертвы.
Специфика транзакций. Полная неэффективность в офлайн-среде, а также ограничения при проведении некоторых типов автоматических рекуррентных платежей (подписок).
Человеческий фактор. Бессилие перед методами социальной инженерии: если держатель под влиянием обмана сам передал секретный пароль преступнику, техническая защита не сработает.