Cik patiesībā ir droši karšu norēķini internetā ar 3D Secure

Kopš 2011. gada oktobra Swedbank klienti var veikt maksājumus internetā ar karti tikai, ja ir aktivizēts 3D Secure. Tas, pavisam noteikti, lielai daļai karšu lietotāju piedod drošības sajūtu, jo līdztekus kartes numuram un cvv kodam, tiek uzprasīta parole, kuru zina tikai kartes lietotājs un tā nav atrodama uz kartes (cvv numurs atrodams uz kartes reversa).

Taču nesenie notikumi, kad patvaļīgi no konta tika atvilkta summa, lika aizdomāties, cik patiesībā 3D Secure ir drošs. Kopš ieviests 3D Secure esmu bijis liecinieks diviem, savstarpēji nesaistītiem notikumiem, kur dažādām personām tika atskaitīta summa bez kartes lietotāja ziņas un līdzdalības. Pirmajā gadījumā tas bija vimeo.com, kur maksas pakalpojums (par papildus vietu un ātrāku video apstrādi) izrādījās ir nevis vienreizējs maksājums, bet ikmēneša maksājums. Otrajā gadījumā – attēlu serviss shutterstock.com, kur attēli nevis tiek iegādāt (t.i. to lietošanas tiesības), bet gan attēlu iegādes pakalpojums tiek abonēts. Un, tas savukārt nozīmē, ka katru mēnesi tiek atskaitīta zināma summa, protams, bez klienta līdzdalības.

Protams, var gudri spriedelēt un vīpsnāt, ka redz, vajadzēja uzmanīgāk lasīt pirms maksā, un ka to jau sen visi (!) zina, bla, bla, bla. Ņemot vērā, ka pirms tam veikts neskaitāms daudzums pirkumu internetā, kur tādi „pārsteigumi” nebija un pat ne prātā neienāca, ka kaut kas tāds, maz tehniski iespējams.

Fiška īstenībā tanī, ka vispārzināmās transakcijas, kuras pieejamas, Latvijas tirgotājiem ir – maksājums ar karti un maksājuma reversālis (jeb maksājuma summas atgriešana). Bet, tehniski iespējams un plašajās interneta ārēs praktizēts, vēl viens transakcijas veids – abonēšanas maksa. Tas nozīmē, ka vienreiz veicot maksājumu (attiecīgi aizpildot kartes datus un ievadot 3D Secure paroli) uz autorizētās transakcijas pamata tirgotājs var veikt neskaitāmos naudas atskaitījumus, bez kartes īpašnieka līdzdalības. Pamatojums tam, distances līgums, ar kuru tirgotājs un pircējs ar viena checkbox starpniecību ir vienojies par šādu darbību legalitāti.

Lai iegūtu vairāk informācijas un kā var pasargāties no negaidītām „abonēšanas” maksām, ar epasta starpniecību vērsos Swedbank un Citadele klientu apkalpošanas centros. Swedbanka  laipni paskaidroja, ka šāda „abonēšanas” transakcija ir legāla (tikai nez kāpēc Latvijas tirgotājiem netiek piedāvāta), un lai izvairītos no negaidītiem pirkumiem, Swedbanka piedāvā internetbankā atslēgt 3D Secure, līdz ar to atslēdzot iespēju norēķināties ar karti internetā (attiecīgi, pieslēdzot, veicot maksājumu). Citadele arī atzina, ka šāda veida automātiskās transakcijas ir legālas un ieteica rūpīgi pētīt tirgotāja nosacījumus pirms veikt maksājumu, savukārt ja „sūdi savārīti un ščotčiks jau skaita”, kā vienīgo risinājumi piedāvāja bloķēt karti un pieprasīt tās aizvietošanu (kas acīmredzot ir maksas pasākums).

Šajā komunikācijā uzzināju arī to, ka 3D Secure parole ne vienmēr tiks uzprasīta, tikai gadījumos, ja tirgotāja norēķinu platforma to atbalsta. Ja neatbalsta un tirgotājs to nav norādījis, tad maksājums tiks veikts ievadot kartes datus un cvv.

Pirms dažiem gadiem, veidojot norēķinu sistēmu, biju saskāries ar līdzīgu vajadzību – proti izveidot tādu norēķinu sistēmu, kur maksājumi varētu tikt veikti atkārtoti neievadot kartes datus. Vēl jo vairāk, šādas norēķinu sistēmas internetā bija redzētas. Kā viens no scenārijiem ir, ka kartes dati tiek saglabāti, taču tas būtu klajā pretrunā ar VISA/Mastercard noteikumiem. Citu alternatīvu nedz FirstData nedz DNB Nord banka nepiedāvāja.

Izklāstīto notikumu iespaidā sazinājos ar FirstData, vai gadījumā pa šo laiku nav kas mainījies. Uz ko saņēmu atbildi, ka tuvākajā laikā šāda „abonēšanas” maksājumu sistēma tiks piedāvāta arī Latvijas tirgotājiem. Labā ziņa tirgotājiem (es jau gara acīm redzu draugiem.lv finanšu direktora plato smaidu), sliktā ziņa pircējam, jo viens nepamanīts ķeksis (vai neizņemts) nozīmēs neparedzētu naudas atvilkumu un ar tās atgūšanu saistītie kreņķi. Te jums nebūs nekāda rietumu liberālā ekonomika, kur viens zvans supportam un nauda bez ierunām tiek atskaitīta atpakaļ. Visticamāk, notiks tielēšanās par noslēgto līgumu, gara jo gara sarakste, tiesu darbi un beigās atziņa, ka pats vien biji pie tā vainīgs.

Par 3D Secure

Klasiskais karšu norēķinu veids internetā izpaužas šādi: pircējs izvēlas preci vai pakalpojumu, „rūpīgi” iepazīstas ar līgumu un tiek pāradresēts uz maksājumu apkalpošanas vietni (piemēram, bankas) norēķinu turpmākai veikšanai. Ievadot kartes datus un apstiprinot darījumu, pircēja kontā tiek rezervēta naudas summa, un pircējs tiek atgriezts atpakaļ tirgotāja lapā ar jau akceptētu maksājumu. Principā, šādu darījumu var izdarīt arī ne kartes patiesais īpašnieks, jo norēķinoties jāzina tikai kartes numurs, īpašnieks, derīguma datums un cvv.

Norēķini ar 3D Secure ievieš vēl vienu soli. Proti, brīdī, kad pircējs tiek pāradresēts uz tirgotāja bankas lapu kartes datu ievadei, pēc akcepta tiek pāradresēt vēl uz pircēja bankas lapu 3D Secure paroles ievadei, un tikai tad pāradresēts atpakaļ uz tirgotāja lapu ar jau akceptētu maksājumu.

Attēls no: reseaux-telecoms.net