Шахрайство з оплатами та 3-D Secure

Шахрайство з оплатами в інтернет-магазині — це спроба отримати товар чи гроші за допомогою чужих карткових даних, обману покупця або недобросовісного оскарження платежу. 3-D Secure (3DS) — протокол, за яким банк-емітент додатково перевіряє, що картку використовує її власник.

Простими словами

Картка в інтернеті працює без фізичної присутності: магазин не бачить картки й обличчя. Тому сторони обмінюються даними, а банк оцінює ризик. EMVCo, організація, що веде стандарт, описує це так: продавець передає банку дані про операцію, платіж і пристрій; банк оцінює ризик і схвалює покупку або просить підтвердження. Для багатьох покупок усе відбувається без додаткових кроків («клікнув Купити, і платіж пройшов»), а ризикованіші вимагають підтвердження: одноразовий код, питання або біометрія (EMVCo).

Так працює EMV 3DS. Версія 2.1 підтримує вимоги сильної автентифікації клієнта в ЄС (PSD2), але EMVCo рекомендує розглядати 2.2 і новіші для оптимальних можливостей (там само).

Що відбувається в Україні

За даними НБУ за 2025 рік (публікація квітня 2026), кількість шахрайських операцій з картками зменшилась на 5% до 256 тисяч, а втрати зросли на 24% до 1,4 млрд грн; середня сума однієї операції підвищилась на 30% до 5 536 грн. 83% випадків відбулося онлайн, а на онлайн-операції припало 91% усіх втрат. Соціальна інженерія відповідала за 90% втрат: клієнти самі передавали шахраям дані картки, паролі чи коди підтвердження (Mind.ua за даними НБУ).

Це важливий висновок для магазину: більша частина втрат в Україні пов'язана не з «зламом» карток, а з тим, що людину обманом змусили самій підтвердити платіж чи назвати код. Захист від цього лежить переважно на стороні банків та навчання клієнтів, але магазин може не збирати зайві дані й не просити коди в чатах чи листах. Зауваження: цифри НБУ стосуються всіх карткових шахрайств, а не лише інтернет-магазинів.

Основні види шахрайства для магазину

• Платіж краденою карткою. Власник побачить списання, оскаржить його, і гроші повернуться йому: магазин втрачає товар і платить за спір.
• Тестування карток (carding). Боти перебирають дані на сторінці оплати, перевіряючи, які картки працюють. Захист: ліміти спроб, перевірка на ботів, див. боти й парсинг.
• Захоплення акаунтів. Підбір чужих паролів, щоб купити на збережену картку чи бонуси.
• «Дружнє» шахрайство. Реальний покупець оскаржує платіж, хоча покупку зробив сам. Відкритих первинних цифр, які б можна було перевірити, немає.
• Шахрайство з післяплатою. Замовлення на чужу адресу чи телефон, відмова від забору. Це не карткове, але теж збиток; див. накладений платіж.

Що робить 3-D Secure і чого не робить

3DS переносить частину перевірки на банк, який знає свого клієнта. Користь за EMVCo: краще запобігання шахрайству, менше помилкових відмов і гладкіший чекаут (EMVCo). Ризик-орієнтований підхід означає, що частина покупців проходить без жодних зайвих кроків.

Чого не робить: не захищає від ситуації, коли клієнта обманом змусили самого назвати код, і не знімає з магазину потреби стежити за підозрілими замовленнями. Умови перенесення відповідальності за спори залежать від правил платіжної системи та договору з банком; уточнюйте в еквайєра.

Практичний мінімум

1. Платіжна сторінка від провайдера з увімкненим 3DS (звичайно це налаштування в договорі й кабінеті провайдера).
2. Не зберігати дані карток; див. PCI DSS.
3. Правила перевірки замовлень: дуже великі суми, нові клієнти з великим кошиком, різні адреси платника й доставки, багато невдалих спроб оплати поспіль. Підозрілі підтверджуйте дзвінком.
4. Ліміти спроб оплати та захист від ботів.
5. Чіткий опис товару, умов повернення і назва магазину в виписці: частина спорів виникає, бо клієнт не впізнає списання.
6. Збирати докази доставки (накладна Нової пошти, підтвердження отримання) для відповіді на спір.
7. Двоетапний вхід для клієнтських акаунтів чи сповіщення про вхід з нового пристрою.

Типові помилки

• Вимикати 3DS, щоб «не втрачати конверсію». Ризик-орієнтований 3DS проводить частину покупців без кроків, а вимкнення залишає ризик вам. Розбирайте це з провайдером на ваших даних.
• Блокувати все підряд за правилами. Занадто жорсткі фільтри відсікають чесних покупців.
• Просити клієнта надіслати фото картки чи код у месенджері.
• Не дивитися на свої дані: частку спорів і відмов мають рахувати ви самі.

FAQ

Що таке 3-D Secure? Додаткова перевірка покупки банком-емітентом: у разі ризику клієнт підтверджує платіж кодом, у застосунку банку чи біометрією (EMVCo).

Чи завжди клієнт бачить вікно 3-D Secure? Ні. Для багатьох операцій перевірка відбувається непомітно, а запит з'являється лише за підвищеного ризику (EMVCo).

Як зменшити шахрайство в магазині без втрати конверсії? Використовувати ризик-орієнтований 3DS, ліміти спроб і правила перевірки лише ризикових замовлень, а не всіх.

Який відсоток карткового шахрайства в Україні пов'язаний із соціальною інженерією? За даними НБУ за 2025 рік, 90% втрат (Mind.ua).

Пов'язані терміни

• Способи оплати в інтернет-магазині в Україні
• PCI DSS простими словами
• Післяплата і невикуп
• Оформлення замовлення (чекаут)
• Боти й парсинг цін в інтернет-магазині

Джерела

• EMVCo, EMV 3-D Secure — emvco.com/emv-technologies/3-d-secure
• Mind.ua за даними НБУ, Шахрайства з картками стало менше, але збитки зросли до 1,4 млрд грн, 17 квітня 2026 — mind.ua/news/20303926-shahrajstva-z-kartkami-stalo-menshe-ale-zbitki-zrosli-do-14-mlrd-grn-nbu