3-D Secure: что это и зачем банк присылает код при оплате

Что такое 3-D Secure простыми словами

3-D Secure — это второй замок на онлайн-платежах. Чтобы купить что-то в интернете, мало знать номер карты, срок действия и CVV/CVC-код: эти данные легко украсть. Поэтому магазин перенаправляет вас на страницу банка или в приложение, и банк спрашивает подтверждение, которое есть только у вас.

Название отражает три стороны операции, или три «домена»: банк покупателя, банк магазина и платёжную систему между ними. Подтверждение проходит в домене банка-эмитента, то есть того банка, который выпустил вашу карту. Магазин код не видит и не хранит.

Как это называется в разных платёжных системах

Для карт Visa и Mastercard российских банков подтверждение онлайн-оплаты внутри страны идёт через НСПК: так требует ч. 5 ст. 30.6 закона № 161-ФЗ. Поэтому код приходит и после ухода этих систем из России. Подробнее о том, что ещё работает, — в статье про Visa и Mastercard в России.

Как проходит оплата с кодом

1. Вы вводите на сайте магазина номер карты, срок действия и код с оборота.
2. Магазин передаёт запрос в платёжную систему, а она — в ваш банк.
3. Банк оценивает риск операции и решает, нужно ли подтверждение.
4. Если нужно, вы получаете SMS или push-уведомление с одноразовым кодом либо подтверждаете платёж в приложении банка.
5. Вы вводите код на странице банка. Банк сверяет его и разрешает списание.

Код одноразовый и действует несколько минут, только для одной конкретной операции. В хорошем сообщении банк указывает сумму и получателя платежа. Всегда сверяйте их с тем, что вы покупаете: если в SMS написано «Перевод 15 000 ₽», а вы оплачиваете книгу за 700 ₽, вводить код нельзя.

Почему код приходит не всегда

Современная версия протокола, 3-D Secure 2.0, позволяет банку оценивать риск по множеству признаков: устройство, привычные магазины, сумма, история покупок. Низкорисковые операции банк может провести без кода, а подозрительные — дополнительно проверить или отклонить. По данным НСПК, Mir Accept 2.0 построен на этом же стандарте.

Есть и другие причины, по которым кода нет. Магазин может не поддерживать технологию, а платёж с сохранённой карты в подписке банк иногда проводит без повторной проверки. Это не ошибка, но такие платежи стоит регулярно сверять с выпиской.

Никому не сообщайте код

Одноразовый код — это ваша подпись под операцией. Мошенники звонят от имени банка, службы безопасности, оператора связи или курьера и под любым предлогом просят продиктовать «код из SMS для отмены операции». Настоящий сотрудник банка такой код никогда не спрашивает.

Если вы сами сообщили код постороннему, банк вправе отказать в возврате денег. По ч. 15 ст. 9 закона № 161-ФЗ банк возмещает операцию без согласия клиента, если клиент вовремя сообщил о ней и банк не докажет, что клиент нарушил порядок использования карты.

Признаки обмана, по которым стоит сразу положить трубку:

• вас торопят и пугают «подозрительной операцией прямо сейчас»;
• просят назвать код, ПИН, CVV или установить программу удалённого доступа;
• сообщают, что «на вас оформили кредит» и его нужно «аннулировать» через перевод;
• пишут в мессенджере от имени сотрудника банка — закон запрещает работникам банков связываться с клиентами через иностранные мессенджеры.

Что делать, если пришёл код, а вы ничего не покупали

Код без покупки означает, что кто-то знает данные вашей карты и пытается ими расплатиться. Сам по себе код без ввода деньги не спишет, но карта уже скомпрометирована.

1. Не вводите код и никому его не сообщайте.
2. Заблокируйте карту в приложении или по номеру на её обороте.
3. Закажите перевыпуск: у новой карты будут другие номер и код.
4. Проверьте операции за последние дни и отвяжите карту от сайтов, где она была сохранена.

Если деньги всё же списали, сообщите банку как можно быстрее, но не позднее дня, следующего за днём уведомления об операции. Тогда банк обязан рассмотреть заявление за 30 дней, по трансграничным операциям — за 60 дней. Например, если 21 октября пришло уведомление о списании 12 000 ₽, заявить о нём нужно не позже 22 октября. Порядок возврата разобран в статье как вернуть деньги, украденные с карты, а признаки утечки данных — в статье о компрометации карты.

Когда 3-D Secure не спасает

Технология защищает от тех, кто украл только реквизиты карты. Но она бессильна, если человек сам вводит код на поддельной странице или диктует его по телефону. Поэтому большинство краж сегодня строится не на взломе, а на обмане: фишинговые сайты копируют страницы магазинов и банков, а звонящие давят на эмоции.

Дополнительную страховку дают другие механизмы. Банк обязан проверять переводы на признаки операций без согласия клиента: подозрительный перевод по карте или через СБП он отклоняет, а перевод по реквизитам приостанавливает на 2 дня. Кроме того, с сентября 2025 года можно назначить доверенное лицо — родственника или друга, который будет подтверждать выбранные вами операции. Это полезно пожилым людям и тем, кто часто становится мишенью мошенников.

Как обезопасить онлайн-покупки

• Включите уведомления обо всех операциях: банк обязан сообщать о каждой операции способом из договора.
• Для покупок в интернете заведите отдельную виртуальную карту и держите на ней небольшую сумму.
• Установите лимиты на онлайн-операции в приложении банка.
• Не сохраняйте карту на незнакомых сайтах и проверяйте адрес страницы перед вводом реквизитов.

Российские карты не работают в иностранных интернет-магазинах, поэтому предложения «оплатить зарубежный сервис через посредника» часто оказываются мошенничеством. Законные варианты — в разделе зарубежные карты. Норму о возврате украденных денег можно прочитать в ст. 9 закона № 161-ФЗ.