Мошенничество с платежами и 3-D Secure

Мошенничество с платежами в интернет-магазине — это попытка получить товар или деньги с помощью чужих карточных данных, обмана покупателя или недобросовестного оспаривания платежа. 3-D Secure (3DS) — протокол, по которому банк-эмитент дополнительно проверяет, что картой пользуется её владелец.

Простыми словами

Карта в интернете работает без физического присутствия: магазин не видит ни карту, ни лицо. Поэтому стороны обмениваются данными, а банк оценивает риск. EMVCo, организация, которая ведёт стандарт, описывает это так: продавец передаёт банку данные об операции, платеже и устройстве; банк оценивает риск и одобряет покупку или просит подтверждение. Для многих покупок всё происходит без дополнительных шагов («нажал Купить, и платёж прошёл»), а более рискованные требуют подтверждения: одноразовый код, вопрос или биометрия (EMVCo).

Так работает EMV 3DS. Версия 2.1 поддерживает требования строгой аутентификации клиента в ЕС (PSD2), но EMVCo рекомендует рассматривать 2.2 и новее для оптимальных возможностей (там же).

Что происходит в Украине

По данным НБУ за 2025 год (публикация апреля 2026), количество мошеннических операций с картами уменьшилось на 5% до 256 тысяч, а потери выросли на 24% до 1,4 млрд грн; средняя сумма одной операции повысилась на 30% до 5 536 грн. 83% случаев произошло онлайн, а на онлайн-операции пришлось 91% всех потерь. Социальная инженерия отвечала за 90% потерь: клиенты сами передавали мошенникам данные карты, пароли или коды подтверждения (Mind.ua по данным НБУ).

Это важный вывод для магазина: бо́льшая часть потерь в Украине связана не со «взломом» карт, а с тем, что человека обманом заставили самого подтвердить платёж или назвать код. Защита от этого лежит преимущественно на стороне банков и обучения клиентов, но магазин может не собирать лишние данные и не просить коды в чатах или письмах. Замечание: цифры НБУ касаются всего карточного мошенничества, а не только интернет-магазинов.

Основные виды мошенничества для магазина

• Платёж краденой картой. Владелец увидит списание, оспорит его, и деньги вернутся ему: магазин теряет товар и платит за спор.
• Тестирование карт (carding). Боты перебирают данные на странице оплаты, проверяя, какие карты работают. Защита: лимиты попыток, проверка на ботов, см. боты и парсинг.
• Захват аккаунтов. Подбор чужих паролей, чтобы купить на сохранённую карту или бонусы.
• «Дружеское» мошенничество. Реальный покупатель оспаривает платёж, хотя покупку сделал сам. Открытых первичных цифр, которые можно было бы проверить, нет.
• Мошенничество с наложенным платежом. Заказ на чужой адрес или телефон, отказ от получения. Это не карточное, но тоже ущерб; см. наложенный платёж.

Что делает 3-D Secure и чего не делает

3DS переносит часть проверки на банк, который знает своего клиента. Польза по EMVCo: лучшее предотвращение мошенничества, меньше ложных отказов и более гладкий checkout (EMVCo). Риск-ориентированный подход означает, что часть покупателей проходит без каких-либо лишних шагов.

Чего не делает: не защищает от ситуации, когда клиента обманом заставили самого назвать код, и не снимает с магазина необходимость следить за подозрительными заказами. Условия переноса ответственности за споры зависят от правил платёжной системы и договора с банком; уточняйте у эквайера.

Практический минимум

1. Платёжная страница от провайдера с включённым 3DS (обычно это настройка в договоре и кабинете провайдера).
2. Не хранить данные карт; см. PCI DSS.
3. Правила проверки заказов: очень большие суммы, новые клиенты с большой корзиной, разные адреса плательщика и доставки, много неудачных попыток оплаты подряд. Подозрительные подтверждайте звонком.
4. Лимиты попыток оплаты и защита от ботов.
5. Чёткое описание товара, условий возврата и название магазина в выписке: часть споров возникает, потому что клиент не узнаёт списание.
6. Собирать доказательства доставки (накладная Новой почты, подтверждение получения) для ответа на спор.
7. Двухэтапный вход для клиентских аккаунтов или уведомления о входе с нового устройства.

Типичные ошибки

• Отключать 3DS, чтобы «не терять конверсию». Риск-ориентированный 3DS проводит часть покупателей без шагов, а отключение оставляет риск вам. Разбирайте это с провайдером на ваших данных.
• Блокировать всё подряд по правилам. Слишком жёсткие фильтры отсекают честных покупателей.
• Просить клиента прислать фото карты или код в мессенджере.
• Не смотреть на свои данные: долю споров и отказов должны считать вы сами.

FAQ

Что такое 3-D Secure? Дополнительная проверка покупки банком-эмитентом: в случае риска клиент подтверждает платёж кодом, в приложении банка или биометрией (EMVCo).

Всегда ли клиент видит окно 3-D Secure? Нет. Для многих операций проверка происходит незаметно, а запрос появляется только при повышенном риске (EMVCo).

Как уменьшить мошенничество в магазине без потери конверсии? Использовать риск-ориентированный 3DS, лимиты попыток и правила проверки только рискованных заказов, а не всех.

Какой процент карточного мошенничества в Украине связан с социальной инженерией? По данным НБУ за 2025 год, 90% потерь (Mind.ua).

Связанные термины

• Способы оплаты в интернет-магазине в Украине
• PCI DSS простыми словами
• Наложенный платёж и невыкуп
• Оформление заказа (чекаут)
• Боты и парсинг цен в интернет-магазине

Источники

• EMVCo, EMV 3-D Secure — emvco.com/emv-technologies/3-d-secure
• Mind.ua за даними НБУ, Шахрайства з картками стало менше, але збитки зросли до 1,4 млрд грн, 17 квітня 2026 — mind.ua/news/20303926-shahrajstva-z-kartkami-stalo-menshe-ale-zbitki-zrosli-do-14-mlrd-grn-nbu