Что такое CVV-код карты: где он находится у пластиковой и виртуальной зарубежной карты, зачем нужен и что делать, если его узнал мошенник

CVV — это трехзначный код безопасности на обратной стороне карты, который подтверждает оплату в интернете. У Visa он называется CVV2, у Mastercard — CVC2, у American Express это четыре цифры CID на лицевой стороне. У виртуальной карты код показывают только в приложении банка.

Номер карты и срок действия видны каждому, кто держал карту в руках или видел чек. CVV — единственная из трех частей реквизитов, которую магазин не имеет права хранить: по стандарту безопасности PCI DSS код удаляют сразу после авторизации платежа, даже в зашифрованном виде.

Поэтому кто знает номер, срок и CVV, тот может платить вашей картой в интернете — везде, где нет второго шага подтверждения. Для держателя зарубежной карты это особенно чувствительно: деньги на ней часто в долларах, а спорить с банком другой страны дольше.

Ниже — где искать код на пластике и в приложении, зачем он нужен, почему его иногда не спрашивают и пошаговый план на случай, если вы его назвали.

Что такое CVV и CVC?

CVV и CVC — это одно и то же: код проверки подлинности карты, который вводят при оплате без карты в руках, то есть в интернете, в приложении или по телефону. Название зависит от платежной системы, а цифра 2 в конце означает печатный код, в отличие от первого кода, записанного в магнитной полосе и чипе.

Код не выдавлен, а напечатан тонким шрифтом: так его нельзя снять оттиском и трудно прочитать издалека. Если на полосе для подписи напечатано семь цифр, CVV — последние три, первые четыре повторяют окончание номера карты.

Где найти CVV у виртуальной карты?

У виртуальной карты CVV есть всегда, просто он не напечатан: его показывают в приложении банка-эмитента, в карточке продукта, обычно после входа по коду или отпечатку. Отдельно его не присылают — ни в письме, ни в СМС.

• Постоянный код. Большинство банков показывает один и тот же CVV весь срок действия карты. Его можно один раз ввести в магазине, но хранить в заметках телефона не стоит.
• Динамический код. Часть банков меняет CVV виртуальной карты каждые 30-60 минут. Украденный код быстро становится бесполезным, но и платить приходится, держа приложение открытым.
• Цифровая карта с пластиком. Если банк сначала выдает цифровую карту, а потом пластик, код на пластике может отличаться от кода в приложении — это разные носители.

Чем виртуальная карта отличается от цифровой и пластиковой, разобрано в статье что такое цифровая карта, а про выбор и настройку виртуальной — в полном руководстве по виртуальной карте.

Зачем CVV нужен при оплате в интернете?

CVV доказывает магазину и банку, что покупатель держит в руках саму карту или имеет к ней доступ в приложении, а не просто нашел номер. Номер и срок остаются в базах магазинов, чеках и выписках, а CVV после оплаты удаляют: стандарт PCI DSS прямо запрещает его хранить, даже зашифрованным.

CVV — первый барьер, код 3-D Secure из СМС или push-уведомления — второй. Как работает второй и что делать, если код не приходит на зарубежную карту, разобрано в статье 3-D Secure по зарубежной карте.

Почему сайт иногда не спрашивает CVV?

Сайт не спрашивает CVV, если оплата идет по сохраненной карте, по подписке или через токен платежного кошелька. Это не ошибка и не утечка: магазин берет на себя риск или подтверждает платеж другим способом.

• Повторная оплата сохраненной картой. CVV вводят при первой покупке, дальше магазин платит по привязке. Если платеж окажется мошенническим, по правилам платежных систем риск чаще несет магазин.
• Подписки и автопродление. Каждое следующее списание идет без кода — по разрешению, которое вы дали при подписке.
• Apple Pay и Google Pay. Вместо CVV банк получает одноразовую криптограмму от устройства, а личность подтверждает Face ID или отпечаток.
• Магазин не требует код вовсе. Некоторые площадки принимают оплату без CVV, если сами проверяют покупателя. Для держателя это повод включить уведомления о каждом списании.

Если платеж, наоборот, отклоняют даже с верным CVV, причину подскажет код отказа — расшифровка в статье почему не проходит оплата зарубежной картой.

Почему CVV нельзя сообщать никому?

Потому что с номером, сроком и CVV можно заплатить в любом магазине, который не запрашивает 3-D Secure. Сотрудник банка код не спрашивает никогда: у банка он уже есть, и для возврата денег, проверки или «разблокировки» он не нужен.

• Просят CVV «для зачисления перевода» — это мошенничество: для перевода на карту достаточно ее номера.
• Просят CVV «из службы безопасности банка» — банк такие звонки не делает.
• Сайт просит CVV на странице без адреса известного магазина или платежного шлюза — закрыть вкладку.
• Продавец на доске объявлений просит «данные карты для предоплаты» — передавать нельзя ничего, кроме номера для перевода.

Что делать, если CVV узнал мошенник?

Сразу заблокировать карту в приложении банка — это занимает минуту и останавливает новые списания. Дальше действовать по порядку, не дожидаясь первого чужого платежа.

Как проходит оспаривание, разобрано в статье как оспорить платеж по зарубежной карте, а порядок действий при блокировке — в что делать, если заблокировали карту.

Вопросы и ответы