PSD2 и 3-D Secure при плащане в сайта — какво да знае собственикът

Заради PSD2 и 3-D Secure почти всяко плащане с карта в сайт от Европейското икономическо пространство (ЕИП) се потвърждава от купувача с два независими елемента, например парола и телефон (Българска народна банка, Visa България). Мярката работи. Делът на измамите в ЕИП остава около 0,002% от стойността на плащанията през 2024 г., но общата им сума расте до 4,2 млрд. евро (Европейски банков орган (ЕБО), Европейска централна банка).

Какво изискват PSD2 и 3-D Secure от вашия сайт

Втората директива за платежните услуги (PSD2) въвежда задълбочено установяване на идентичността на клиента, на английски Strong Customer Authentication (SCA) (Българска народна банка, Visa България). Банката проверява купувача с поне два от три вида елементи. Първият е нещо, което той знае, като ПИН или парола. Вторият е нещо, което притежава, като телефон или устройство за кодове. Третият е нещо, което му е присъщо, като пръстов отпечатък.

Техническите стандарти влизат в сила през 2019 г., а за картовите плащания в интернет има преходен период до 31 декември 2020 г. (Българска народна банка). От 1 януари 2021 г. правилото важи за електронната търговия в почти цялото ЕИП (Visa България). Платежните доставчици в България завършват миграцията на системите си през 2021 г..

3-D Secure е протоколът, чрез който картовите схеми изпълняват изискването в онлайн магазините (Visa България). Новата му версия EMV 3DS работи по-добре на телефон и по-рядко добавя стъпката, при която купувачите изоставят поръчката.

Собственикът на сайта не пише код за проверката. Тя се включва при банката приемател или при платежния доставчик, с когото работи магазинът, а задачата на търговеца е да провери, че е активна (Visa България). Плащане, което не отговаря на изискванията, може да бъде отказано.

Кога купувачът минава през проверка и кога не

Делегиран регламент (ЕС) 2018/389 съдържа техническите правила и позволява на доставчика да пропусне втория елемент при определени условия (Българска народна банка, Европейски банков орган (ЕБО)). Най-често това са малки суми, а изключенията имат точни прагове в евро.

Изводът за магазин със средна поръчка около 20 евро е прост. Част от покупките ще минават без код, но след като натрупаната сума от последната проверка надхвърли 100 евро, клиентът ще бъде помолен да потвърди отново (Европейски банков орган (ЕБО)). За плащания в друга валута доставчиците превръщат праговете по средния референтен курс на ЕЦБ или ги оставят в евро.

Изключението не се включва от бутон в WordPress. Доставчиците маркират такива операции със специален код, за да минат без допълнителна стъпка (Visa България). Ако използвате плъгин за плащане, настройките идват от доставчика, а основите на поддръжката на WordPress помагат той да остане обновен.

Измамите в Европа в числа

Съвместният доклад на ЕБО и ЕЦБ обхваща данни за 2022–2024 г. и стига до извода, че задълбочената проверка, задължителна от 2020 г., е помогнала за по-ниски нива на измами (Европейски банков орган (ЕБО)).

По наше изчисление по данни на ЕБО и ЕЦБ сумата се увеличава с около 24% за две години, докато делът ѝ спрямо всички плащания остава стабилен (Европейски банков орган (ЕБО), Европейска централна банка). Загубите при плащания с карти, издадени в ЕС и ЕИП, достигат 1,329 млрд. евро през 2024 г., с 29% повече от предходната година.

Операциите със задълбочена проверка като цяло са по-малко податливи на измами, особено при картите (Европейски банков орган (ЕБО), Европейска централна банка). Когато получателят е извън ЕИП, където проверката не е задължителна по закон и често не се прилага, измамите с карти са 17 пъти повече. Изключването на 3-D Secure, за да стане поръчката по-бърза, премахва точно защитата, която държи тези числа ниски.

Новите измами заобикалят проверката

Задълбочената проверка спира откраднатите данни от карта. Купувач, когото измамник е убедил сам да потвърди плащане, тя не спира (Европейски банков орган (ЕБО)). ЕБО и ЕЦБ отчитат ръст на манипулацията на платците и на атаките срещу операции, които използват изключенията.

При кредитните преводи загубите през 2024 г. са 2,2 млрд. евро, с 16% повече, а потребителите понасят около 85% от тях (Европейски банков орган (ЕБО), Европейска централна банка). По наше изчисление по данни на ЕБО това са около 1,9 млрд. евро, платени от самите клиенти. Основната причина са измами, при които човекът сам нарежда плащането.

БНБ посочва фишинга и социалното инженерство като основните заплахи при електронните плащания (Българска народна банка). CERT България напомня, че банката не иска пароли и данни за карти по имейл и че адресът на банката трябва да се пише ръчно, а не да се отваря от връзка в писмо (CERT България). Собственикът на магазин може да намали риска, като поддържа писмата за поръчки кратки и никога не иска в тях данни за карта, за да не приличат на фишинг.

Какво да проверите в своя онлайн магазин

Повечето проверки отнемат един разговор с доставчика и една тестова поръчка (Visa България).

• Попитайте банката приемател или платежния доставчик дали 3-D Secure е включен за всички карти и дали се използва версията EMV 3DS (Visa България).
• Уточнете кои операции доставчикът маркира като изключения и при какви суми (Европейски банков орган (ЕБО)).
• Ако имате и физически магазин, проверете дали ПОС терминалите не се нуждаят от обновяване.
• Направете тестово плащане от телефон и от компютър и вижте дали страницата на банката за потвърждение се отваря правилно.
• Прегледайте какви данни за поръчките пазите и защо, според задълженията по GDPR за собственици на сайтове.
• Пазете резервни копия на сайта преди всяко обновяване на плъгина за плащане.

Сайтът не съхранява кодовете за потвърждение, защото проверката се извършва от банката на картодържателя (Visa България). Ако клиент съобщи, че потвърждението не идва, насочете го към неговата банка, а не към чужда форма за въвеждане на данни (CERT България).

Чести грешки при плащанията в малкия сайт

Първата грешка е да се смята, че проверката важи навсякъде. Извън ЕИП тя не е законово задължителна и там измамите с карти са многократно повече (Европейска централна банка). Ако продавате на клиенти от трети страни, обсъдете с доставчика допълнителните мерки, които предлага (Visa България).

Друг мит е, че 3-D Secure винаги добавя стъпка и гони клиентите. Малките плащания често минават по изключение, а EMV 3DS е създаден да изисква допълнителна стъпка по-рядко (Европейски банков орган (ЕБО), Visa България).

Третата грешка е да се приеме, че потвърденото плащане е безопасно. Най-бързо растящите схеми разчитат точно на това, че клиентът сам ще потвърди операцията (Европейски банков орган (ЕБО)). ЕБО и ЕЦБ призовават мерките за сигурност да се развиват заедно с новите видове измами (Европейска централна банка). Още при прегледа на PSD2 БНБ очаква оценка на ефекта от задълбочената проверка и мерки срещу новите схеми (Българска народна банка).