ПИН-код и карта – понятия неразлучные, и все же иногда работа карты не требует подтверждения паролем. Альтернативными видами ПИН-кода становятся технология PayPass и подпись на чеке. У каждого способа верификации есть свои преимущества и правила проведения. У каждого банка свои настройки для чипованных и нечипованных карт, и перед выпуском заранее уточняют порядок работы с заказанным видом пластика.
То, что чипованная карта требует код, а без чипа нужна подпись, – заблуждение. Условия работы зависят от настроек торгового терминала банком-эквайрером и самой карты эмитентом. Иногда возникают неприятности, если принципы безопасности у эмитента и эквайрера не совпадают.
Какие способы верификации применяют банки?
В практике международных платежных систем 5 типов верификации (или CVM):
- Офлайн-PIN зашифрованный. Наиболее безопасный из существующих методов — ввод через клавиатуру на платежном терминале. Код проходит шифровку через криптографический чип с дальнейшей передачей в EMV-чип банковского пластика для проверки. Срок подтверждения – быстрый, при краже пластика посторонним сложно снимать деньги. Для успешной работы соблюдают два условия: наличие EMV-чипа на карте и криптографического чипа на платежном устройстве.
- Офлайн-PIN незашифрованный. Работает по аналогии с предыдущим вариантом, однако передается открыто. Наличие криптографического чипа не требуется, однако это влечет дополнительный риск для клиента, если на терминал установлена вредоносная программа.
- Классический онлайн-PIN. Предполагает использование известного метода подтверждения. Суть этого способа в наборе на клавиатуре кода с формированием терминалом ПИН-блока из № карточки и пароля. Дальше информация ПИН-блока надежно шифруется и отправляется в процессинговый центр на проверку. В распоряжении эмитента нет информации о ПИН-кодах по картам. Сравнению подлежит проверочное значение, полученное на основе ПИН-кода и № карточки. Путь до эмитента связан с прохождением промежуточных узлов, которые могут распознать ПИН-блок. Операции исполняются медленнее, в зависимости от качества связи между терминалом и банком-эквайрером. Онлайн-верификация требует обязательного подключения к эмитенту. Способ часто используется при проверке нечипованной карточки.
- Подпись чека держателем карты. С учетом достигнутого уровня технологий выглядит устаревшим видом верификации, вынуждает магазины хранить чеки. К преимуществам метода относится не обязательность в онлайн-подключении, так как авторизация офлайн. При краже такого пластика преступнику нужно будет подделать подпись держателя. Продавец может уличить мошенника, сравнив подпись на обороте пластика и в чеке. Однако в силу высокой нагрузки продавцы редко сверяют изображения варианта на чеке и карте. Для клиента преимуществом станет шанс легкого оспаривания авторизации, если окажется, что карту использовал мошенник без согласия держателя.
- Пятый вариант CVM – нулевая верификация. При оплате мелких покупок и небольших списаниях банк иногда отменяет верификацию. Такой способ часто применяется на кассах, если сумма к оплате не превышает тысячи рублей при бесконтактной технологии.
Эмитент допускает использование других видов верификации для своих карт. Это означает, что карточка рассчитана на применение онлайн- или офлайн-ПИНа, исходя из требований терминала. Для работы в режиме офлайн и онлайн устанавливают свои ПИН-коды, однако подобное разнообразие привело бы к путанице, по этой причине оба варианта всегда совпадают.
Эта особенность никак не проявляется при использовании пластика, пока человек не решит поменять пароль. В банкомате меняют офлайн-коды, а для онлайн-ПИНа потребуется посещение отделения либо звонок на горячую линию. Дальше пароли подлежат синхронизации.
Выбор верификации
При использовании современного пластика выбирается тот вариант верификации, который выдаст настройка платежного терминала и EMV-чипом карты одновременно. В чипе карточки находится CVM-список в виде файла, выбирающего вариант верификации по степени предпочтений. Такой же принцип действует в платежном терминале, где устанавливается свой список приоритетов по верификации.
У платежных систем международного класса «Виза» и «Мастеркард» разные приоритеты:
- Visa предпочитает вначале применять онлайн-ПИН и затем подтверждение подписью;
- продукты, поддерживаемые MasterCard, чаще применяют подпись;
- для «Маэстро» нулевая верификация не предусмотрена.
Каждый банк устанавливает свои правила по степени предпочтений разных методов верификации.
Альфа-Банк
Чипованные карты, выпущенные Альфа-Банком, требуют подтверждения в следующем порядке:
- Для операций в банкомате или POS-терминале обязателен ПИН-код.
- Если расходная транзакция не превышает тысячи рублей, допускается бесконтактный способ. При оплате за пределами РФ используется другая денежная валюта, если сумма не превышает равноценный рублевый эквивалент.
Если банк-эквайрер этого требует, платеж подтверждается ПИН-кодом в любой ситуации.
ВТБ24
Пластик, эмитированный банком ВТБ24, обязательно требует верификации ПИН-кодом, вне зависимости от условий оплаты и типа карты.
Авангард
Несмотря на явное предпочтение российских банков использовать ПИН-код для подтверждения операций по карте, остаются финансовые учреждения, работающие с подписью клиента.
К таким эмитентам относят Авангард, который позволяет выбирать при необходимости верификацию подписью. Клиент вправе выбрать наиболее удобный вариант CVM, используя любой банкомат эмитента.
Банк предусматривает высокий риск распространения информации о ПИН-коде, когда держатель пластика расплачивается на кассах в магазинах и других людных местах. По этой причине изначально пластик ориентирован на подтверждение подписью. Однако за клиентом оставляют право выбора между подписью и ПИН-кодом.
Тинькофф Банк
Новые карты Тинькофф сохраняют право клиента выбрать приоритетность верификации между подписью и ПИН-кодом. Для этого требуется связаться с оператором по горячей линии банка и передать свою просьбу о смене предпочтений в методах подтверждения.
По соображениям безопасности держатель банковской карты вправе отказаться от ввода ПИН-кода при оплате через терминал. В таком случае для проведения платежа нажимают кнопку красного цвета с отменой ввода. По правилам терминал предложит использовать следующий вариант подтверждения – подписью клиента. При отказе от ПИН-кода соответствующая информация появится у кассира на экране. Мало кто знает, что подобным образом допускается действовать и в случае, если код забыт.
Подобная свобода предоставляется не всеми банками, поэтому при выпуске нового пластика лучше узнать о правилах верификации и доступных способах сразу в отделении финансового учреждения.
