терминал не требует пин код
Когда запрашивается PIN-код при оплате?
Заметил, что люди часто рассуждают о причинах не запроса PIN-кода, либо наоборот удивляются, почему вдруг он потребовался. Пытаясь объяснить, в каких ситуациях необходим PIN-код, я запутался и решил собрать данные и написать статью.
Теория
Сначала разберемся с картами
Не чипованые магнитные карты встречаются редко, но все же до сих пор используются. Ответственность за утерянные средства нес банк, но появился стандарт EMV (международный стандарт для операций по банковским картам с чипом), который позволил банкам перенести ответственность за утерянные средства на торгующие организации, не поддерживающие EMV, иначе на держателя карты (если он не сможет доказать что ни имеет никакого отношения к операции). Оборудование, не поддерживающее EMV, оставлено, в связи с тем, что покупка оборудования, поддерживающего новый стандарт является не выгодной для организаций. Выходит, если в магазине старое оборудование, смогут обслуживать с любой картой, но если у клиента чипованая поддерживающая стандарт EMV карта, ответственность несет магазин, если магазин против — ему придется покупать новое оборудование.
В итоге получаем два типа карт: поддерживающие EMV и не поддерживающие. Есть и другие платежные карты, но они используются банками локально и нас не интересуют.
Далее разберемся c PIN-кодом
Запрашивать PIN-код или подпись терминал будет ссылаясь на CVM-лист чип-карты и опираясь на свой режим. Сколько людей — столько и мнений, кто-то за подпись, кто-то против. На деле у всех банков по разному. Одни банки забивают в карту приоритет на подпись, другие на PIN-код, а третьи позволяют перенастроить карту через банкомат по желанию клиента.
Теперь о торговом оборудовании
Я не нашел конкретной информации, как настраивают терминалы в магазинах, но понял, что они тоже содержат определенные настройки, которые, например, позволяют требовать подпись вместо PIN-кода, даже если у карты стоит приоритет PIN-кода, но только если сумма не превышает определенного лимита. Такой режим необходим в магазинах, где в очереди много клиентов при небольших суммах. Этот режим, если я не ошибаюсь называется Offline, переносит ответственность на магазин, даже если используется оборудование EMV.
Результат
Исходя из выше написанного я составил таблицу, чтобы вычислить, в каком случае будет запрашиваться PIN-код:
Зеленым отмечены самые безопасные операции, красным — самые опасные. В столбце ответственные (за утерянные средства) в некоторых ячейках указал две/три стороны, думаю, кто именно, зависит от конкретного тарифного плана. (поправьте меня, если я не прав). Синим отмечены безопасные операции, при условии, что не была прочитана магнитная лента.
Безопасность
Скомпрометировать данные можно у любой карты, если прочитана магнитная лента и введен PIN-код. У скомпрометированной карты злоумышленник сможет совершить покупки только в торговых точках с оборудованием, не поддерживающем EMV. Карту, поддерживающую EMV, нельзя будет использовать в банкоматах (в ленте есть запись, что карта имеет чип). А по карте без EMV злоумышленник кроме покупок сможет совершать операции и в банкомате, например, снять деньги.
Обратите внимание на такую, достаточно распространенную, ситуацию: оператор проводит магнитную ленту, «тормозит», замечая, что у карты есть чип (либо «сильно тормозит», увидев сообщение на дисплее о чипе), затем вставляет карту как положено и просит ввести PIN-код. В этом случае вы тоже скомпрометируете данные своей карты, ведь, возможно, оператор сделал это нарочно.
В любом случае, мы всегда можем отказаться вводить PIN-код, чтобы не скомпрометировать его. Для этого после запроса PIN-кода необходимо нажать на терминале красную клавишу, после чего кассир увидет на экране «Клиент отказался вводить PIN-код» и у него будет выбор принять подпись (нажать «продолжить») вместо PIN-кода или отказать в операции (нажать «отмена»). Не знаю, как вы, но лично я не знал об этой функции и думал, что красная кнопка для полной отмены операции. Конечно, оператор может возмущаться, но на это есть простой ответ «Не помню PIN-код» или «Не знаю его» (есть кредитные карты, к которым не выдают конверт с PIN-кодом).
Надеюсь, эта информация была для вас полезной.
Есть ли жизнь без ПИН-кода
При оплате пластиковой картой для подтверждения того, что именно вы являетесь ее держателем, иногда нужно ввести ПИН-код, иногда поставить подпись на чеке, а порою строгий кассир требует и того и другого. Портал Банки.ру решил выяснить, как определяется способ верификации карточного платежа и в чем преимущество каждого из этих способов.
Бытующее среди держателей банковских карт мнение, что чипованная карта обязательно требует ввода ПИН-кода при оплате, а карта без чипа обходится подписью на чеке, в корне неверно. Возможны самые разные варианты. Все зависит от того, как банк-эмитент настроил карту, а банк-эквайер – торговый терминал. Более того, представления эмитента и эквайера о безопасности и удобстве могут не совпадать. Из-за этого могут случаться неожиданности, не всегда приятные.
В соответствии со стандартами международных платежных систем, есть пять CVM (Card Verification Method) – способов, которыми держатель карты при совершении платежа подтверждает (верифицирует) свою личность.
Зашифрованный офлайн-ПИН – самый современный и защищенный способ верификации. Платежный терминал запрашивает ПИН-код, плательщик набирает его на клавиатуре терминала. Полученный ПИН-код терминал зашифровывает с помощью встроенного криптографического чипа и передает в EMV-чип карты на проверку. Такая верификация происходит быстро, а ПИН-код достаточно надежно защищен от кражи. Данный метод работает только при проведении платежа по EMV-чипу и требует наличия криптографического чипа в терминале.
Незашифрованный офлайн-ПИН работает почти так же, как и зашифрованный, с той лишь разницей, что терминал передает ПИН-код в EMV-чип карты в открытом виде. Соответственно, криптографический чип не нужен, но риск компрометации ПИН-кода техническими средствами (например, если платежный терминал заражен вредоносной программой) возрастает.
Онлайн-ПИН – самый старый способ верификации с ПИН-кодом. Клиент набирает на клавиатуре ПИН-код, терминал из ПИН-кода и номера карты формирует ПИН-блок, зашифровывает его (причем используется шифр многократно менее стойкий, чем в случае зашифрованного оффлайн-ПИН), и передает для проверки в процессинговый центр банка-эмитента. Следует учесть, что эмитент ПИН-кодами выпущенных им карт не обладает. Он хранит лишь вычисленное на основе ПИН-кода и номера карты проверочное значение, которое и сравнивает с проверочным значением полученного ПИН-блока после его расшифровки.
По дороге к эмитенту ПИН-блок проходит множество промежуточных узлов, на каждом из которых он потенциально может быть скомпрометирован. Скорость выполнения этого метода верификации относительно невысока и сильно зависит от способа подключения торговой точки к процессинговому центру банка-эквайера. Естественно, онлайн-ПИН не работает в случае оффлайн-авторизации, когда у торговой точки нет подключения к банку-эмитенту. Для проверки ПИН-кода карты без чипа может использоваться только этот способ.
Проверка подписи выглядит нетехнологично и доставляет немало проблем магазину – из-за нее ему необходимо долгое время хранить чеки с подписями клиентов. Однако есть у этого метода верификации и несколько преимуществ. Во-первых, он не требует подключения терминала к эмитенту, то есть работает при оффлайн-авторизациях. Во-вторых, укравшему карту злоумышленнику, пусть даже он узнал ПИН-код, будет сложно выдать себя за держателя карты – нужно достоверно изобразить подпись, образец которой обязательно должен иметься на обороте карты. Увы, далеко не всегда кассиры удосуживаются сверить подпись. Не все даже проверяют наличие образца на карте.
Этот вид верификации позволяет достаточно легко опротестовать авторизацию, в отличие от методов с вводом ПИН-кода: если подпись на чеке не совпадет с подписью держателя, банк будет вынужден вернуть ему деньги. Конечно же, вкупе с невнимательностью многих кассиров, это оставляет широкие возможности для мошенничества со стороны особо хитроумных держателей карт. Но банки тоже не лыком шиты: опротестовав авторизацию с верификацией по подписи, держатель может, к примеру, столкнуться с требованием предъявить банку все чеки за все оплаты за последние три месяца.
No-CVM означает отсутствие верификации вообще и используется в тех случаях, когда сумма авторизации невысока и нет нужды запрашивать верификацию. Чаще всего он применяется для бесконтактных платежей при сумме менее 1 тыс. рублей.
Важно понимать, что онлайн-ПИН и офлайн-ПИН могут использоваться при оплате одной и той же картой, в зависимости от обстоятельств, и, по сути, это разные ПИН-коды – один проверяется в чипе карты, другой в процессинговом центре банка-эмитента. Чтобы не морочить держателю карты голову, банки-эмитенты эти коды всегда делают одинаковыми. Но есть разница при смене ПИН-кода: офлайн-ПИН меняется через банкомат, онлайн-ПИН могут поменять в банке, по звонку держателя. При первой возможности они синхронизируются. Обычно банки предлагают держателям лишь один из способов смены ПИН-кодов.
Итак, есть пять методов верификации, и современная чиповая карта обладает ими всеми. Метод, который будет использоваться при совершении очередной оплаты, определяется настройками как EMV-чипа, так и терминала – оба устройства должны «договориться» о том, какой из приемлемых для обеих сторон методов они будут использовать.
Для этого в чип карты загружается CVM-список – файл, определяющий, какие способы верификации поддерживает карта и какие более предпочтительны. К примеру, в этом списке может значиться, что предпочтительным способом является шифрованный офлайн-ПИН. В случае отказа от него должен применяться незашифрованный офлайн-ПИН. В случае отказа от него применяется онлайн-ПИН, далее в случае отказа запрашивается подпись, при отказе от которой операция отклоняется. В терминале есть аналогичный CVM-список, и при выполнении операции он сравнивается со списком в чипе. В результате применяется наиболее предпочтительный из способов, указанных как допустимые в обоих списках.
Рекомендации Visa и MasterCard касательно порядка приоритета способов верификации несколько различаются: так, если Visa рекомендует ставить онлайн-ПИН выше, чем проверку подписи, у MasterCard подпись имеет более высокий приоритет, а в картах Maestro способ No-CVM должен отсутствовать.
На практике CVM-список, загруженный в терминал, зависит как от технических возможностей самого терминала, так и от политики банка-эквайера, а CVM-список в чипе карты банк-эмитент полностью определяет из собственных соображений об удобстве держателей и безопасности операций.
Банки.ру запросил несколько крупных банков об их предпочтительных методах верификации. Пресс-служба Альфа-Банка ответила, что «все ЧИПовые карты, которые эмитирует Альфа-Банк, всегда требуют ввода ПИН-кода в случаях, если операция совершается в банкомате; операция, совершается в POS-терминале, ПИН-код требуется и ПИН-пад (клавиатура терминала. – Прим. ред.) исправен; операция совершается бесконтактным способом и сумма операции больше 1 тыс. рублей (или соответствующего эквивалента, если операция совершается в валюте, отличной от рублей РФ); в иных случаях, если операция совершается в POS-терминале и банк-эквайер установил обязательную верификацию держателя карты путем ввода ПИН-кода».
Отметим, что это наиболее частый случай, отечественные банки ПИН-кодам доверяют больше. Начальник управления пластиковых карт ВТБ 24 Александр Бородкин также заявил, что «все карты, эмитируемые ВТБ 24, требуют введения ПИН-кода».
Но есть у нас банки, предпочитающие проверку подписи. «У клиентов банка «Авангард» есть возможность выбора приоритета верификации по подписи или ПИН-коду, изменить приоритет можно в любом банкомате банка, – рассказала порталу Банки.ру начальник процессингового центра «Авангарда» Людмила Хлыстун. – По умолчанию у наших карт действительно установлен приоритет верификации по подписи. Это связано с тем, что, к сожалению, в российских торговых сетях до сих пор часто не обеспечены условия для защищенного ввода ПИН-кода при оплате покупок. Есть риск, что его могут увидеть посторонние люди. Но если клиент не часто сталкивается с ситуациями незащищенного ввода ПИН-кода, то он может установить для своей карты приоритет верификации по ПИН-коду».
Аналогично поступает и Тинькофф Банк. «Для вновь выпущенных карт мы по умолчанию устанавливаем как приоритет подписи, так и ввода ПИН-кода, – сообщили нам в пресс-службе банка. – При этом клиенты Тинькофф Банка могут сами выбрать приоритетный способ подтверждения операций по картам: с помощью подписи или посредством ввода ПИН-кода – для этого нужно позвонить в кол-центр, сообщить о своем намерении и совершить контактную операцию по чипу в банкомате или ТСП (торгово-сервисном предприятии. – Прим. ред.)».
Что на самом деле лучше – ПИН-код или подпись – вопрос непростой. Когда в магазине вы вводите ПИН-код, его может увидеть много кто, например покупатель, стоящий за вами в очереди. Терминал, скорее всего, передаст ваш ПИН-код в банк вполне безопасно, а вот подглядеть ПИН-код глазами или камерой совсем не сложно.
Мало кто знает, но во многих случаях покупатель может отказаться от ввода ПИН-кода, если, например, считает это небезопасным, или просто забыл его. Для этого при запросе ПИН-кода надо просто нажать кнопку отмены ввода на клавиатуре терминала. Обычно она хорошо заметна, так как окрашена в красный цвет. В этом случае терминал должен предложить вам следующий по приоритету после ПИН-кодов метод верификации – то есть проверку подписи. У кассира на дисплее терминала появится сообщение, что клиент от ввода ПИН-кода отказался.
Не каждый банк позволяет своим клиентам такие вольности. Альфа-Банк сообщил, что «для карт, которые эмитирует Альфа-Банк, такой сценарий не поддерживается, так как в случае отказа от ввода ПИН-кода держателем карта запретит проведение такой операции».
Зачем на карте чип, если ПИН-код не требуют?
Держатели чипованных банковских карт привыкли, что при совершении операции требуется ПИН-код. Но в некоторых случаях кассиры в магазине не только не просят покупателя ввести заветные четыре цифры, но даже подпись владельца на чеке им не нужна. Является ли это нарушением – в материале Dengi.59.ru
Специалисты твердят о том, что клиенту банка предпочтительнее оформлять карту с чипом, нежели обычную с магнитной полосой. Чипованные карты считаются более безопасными – на них может храниться больше информации, они отличаются большим сроком использования. «Все чиповые карты – карты стандарта EMV. Это международный стандарт, разработанный компаниями Europay, MasterCard и VISA для повышения уровня безопасности карты, – поясняет руководитель компании-оператора платежей «Биллинговые системы» Андрей Рычков. – Чип в банковской карте – это микрокомпьютер на одном кристалле. Банк-эмитент записывает на него ограничения по использованию карты. Например, устанавливает ограничения по территории действия карты или обозначает лимиты на снятие денег с карты вне домашнего региона. Там же прописаны приоритеты в отношении стандарта EMV при считывании карты – с запросом ПИН-кода или с запросом подтверждения подписи. По словам эксперта, у некоторых банков запросу ПИН-кода присвоен нестрогий приоритет при проведении операции. В этом случае, когда кассир проводит карту через платежный терминал, запроса на введение ПИН-кода не происходит, и она считывается так же, как карта с магнитной полосой. «Получается, что приобретая карту с чипом, клиент банка рассчитывает на дополнительную защиту собственных средств, но не получает ее, – подтверждает опасения собеседник. – Справедливости ради отмечу, ряд банков все-таки оставляет возможность для клиента самостоятельно сменить приоритеты. Сделать это можно через банкомат».
Безответственное отношение кассиров даже породило новый вид мошенничества: после оплаты услуги или товара пользователи карты, у которых не спросили документов, устанавливающих личность, запрашивают в банке отмену транзакции и возврат денежных средств за уже оказанные услуги.
Андрей Рычков приводит пример из практики:
Юлия, клиент банка А,. обратила внимание, что при оплате услуг через POS-терминал у нее не запрашивают ПИН-код. Девушка решила выяснить, в чем причина. В банке объяснили: сходство подписи на карте и чеке является приоритетом. В случае, если такое положение не устраивает клиентку, она может в любом банкомате банка поменять приоритет с подписи на ввод ПИН-кода. Но опять же не во всех платежных терминалах будет запрашиваться код, так как настройкой терминалов занимаются другие банки.
«Если карта с чипом, но по ней проведена операция без ввода ПИН-кода, клиент может ее оспорить и вернуть средства», – говорит управляющий ВТБ24 в Пермском крае Светлана Щеголева.
Когда ПИН-код и подпись не нужны?
Оказывается, все же есть ситуации, когда возможна оплата по карте без введения ПИН-кода и без получения подписи клиента.
Как пояснили в Экопромбанке, на большинстве терминалов при проведении оплаты по чипу есть возможность отказаться от ввода ПИН-кода. «Этим обычно пользуются торговые точки с большим потоком покупателей, для того чтобы ускорить процесс обслуживания клиентов и сократить очереди на кассах, – отметили в пресс-службе банка. – Таким образом настроенный терминал, позволяет произвести расчет с клиентом без использования связи с банком, выпустившим карту (так называемый режим offline). При этом настройки всегда предусматривают максимально допустимый порог сделки, например, при покупке на сумму более 1000 рублей, терминал запросит клиента ввести пин-код».
Риски возможного использования утерянной карты, в этом случае, магазин берет на себя. Магазину выгодней обслужить как можно больше покупателей, в сравнении с гипотетическим риском использования утерянной карты.
О пороге в 1000 рублей упомянули и в Западно-Уральском банке Сбербанка России. Совместно с одной из пермских торговых сетей банк приступил к реализации проекта, направленного на стимулирование безналичных расчетов. В ряде супермаркетов была внедрена технология «Быстрая покупка» (Quick Payment Service или Small Ticket) платежных систем VISA и MasterCard. В соответствии с правилами международных платежных систем в торговых предприятиях, относящихся к типу «Супермаркеты» разрешается проводить операции оплаты покупок картой на сумму до 1000 рублей без ввода пин-кода или подписи держателя карты на чеке. «Для клиента это полностью безопасно: все операции по картам проходят строго по сертифицированным технологиям и на сертифицированном оборудовании и в режиме онлайн получают подтверждение банка-эмитента», – уверяет зампредседателя Западно-Уральского банка ОАО «Сбербанк России» Василий Палаткин.
Добавим, что для контроля личных финансов все эксперты советуют подключать услугу SMS-информирования, чтобы любое списание с банковской карты сопровождалось сообщением. И стоит все-таки забирать чек об оплате, а не бросать его на кассе.
Покупки уже не укладываются в тысячу. «МИР» разрешил оплату до 3 000 рублей без пин-кода
Еще недавно в НСПК говорили, что большинство операций укладываются в разрешенную тысячу рублей и поднимать лимит не планировали.
В России более половины всех операций по картам уже приходятся не на снятие наличных, а на другие действия – преимущественно оплату картой. Все платежные системы освоили выпуск карт с бесконтактным носителем, которыми можно оплачивать покупки без ввода пин-кода на определенную сумму. Еще не так давно максимальная сумма составляла 1000 рублей, потом система Visa подняла лимит до 3000 рублей, а в этом году по картам MasterCard стала доступна оплата на сумму до 5000 рублей без ввода пин-кода.
Дольше всех сопротивлялись в НСПК (оператор карт системы «МИР») – еще не так давно представитель платежной системы уверял, что большинство операций по картам и так укладываются в тысячу рублей и поднимать лимит не планируется.
Однако спустя всего полгода ситуация изменилась – система «МИР» поднимает лимит для операций по бесконтактной оплате без ввода пин-кода до 3000 рублей. Обосновали это тем, что в последнее время операций, требующих ввода пин-кода, стало заметно больше.
Правда, не стоит ожидать, что нововведение заработает сразу во всех банках – в действительности максимальная сумма оплаты без подтверждения определяется политикой банка-эквайера – кредитной организации, которая предоставляет торговой точке POS-терминал, говорит представитель ВТБ. Соответственно, окончательное решение – поднимать лимит или оставить его прежним – принимают непосредственно банки.
Сами банки отмечают, что повышение лимита оплаты по карте назрело уже достаточно давно – суммы в 3000 рублей будет достаточно, чтобы покрыть средний чек в большинстве магазинов формата «у дома», в заведениях общепита и фастфуде.
Кроме того, банки и раньше умели обходить такие ограничения платежных систем. Как рассказал «Коммерсанту» источник, однажды он приобретал телефон за 54 тысячи рублей и оплачивал его картой «Тинькофф банка» – но ввести пин-код не пришлось, операция прошла без него. В том магазине эквайринг предоставляет Сбербанк, где подтвердили – такая операция была полностью законной, а вопрос об аутентификации клиента решается каждый раз индивидуально в ходе взаимодействия карты и терминала.
Такую информацию подтвердили и в некоторых других банках – там по просьбе торговой точки могут вообще отключить необходимость подтверждения оплаты пин-кодом, даже если такие ограничения устанавливает непосредственно платежная система.
Объявление
Комментарий
Комментарий
Нет. Не так.
1. Терминал показывает карте свои свойства и правила.
2. В зависимости от этого карта и терминал определяют способ верификации.
К примеру, если терминал показывает, что по его свойствам он не может провести операцию с пином, к примеру нет пин-пада, то карта операцию отклонит, если в CVM листе стоит первым ввод пина.
Комментарий
Комментарий
Комментарий
Можно. Это зависит от того, к примеру, на какой type он сертифицирован.
Следовательно у держателя нет возможности провести операцию без ПИНа.
Не вижу противоречия т.к. это пример одного из сценариев.
Ну, собственно и всё.
Комментарий
Комментарий
Ну а что касается «по понятиям», то как правило усредненный держатель этого не заметит. А даже если и заметит, то скорее всего не пожалуется. Этим пользуются отдельные эквайреры и не в CAT1. Единственно, кто на это может обратить внимание эмитент.
Комментарий
Только это и хотел сказать..
Комментарий
Только это и хотел сказать..
В вопросе не было оговорено «торговый» терминал и type 22.
Если type 25, то нет.
У меня для этого есть сертификации одного и того же оборудования и на type 22 и type 25, чтобы легально устанавливать принудительный ввод ПИНа и не противоречить EMV сертификации.
Комментарий
Эмитенту ничего не стоит, если надо, потребовать пин, у терминала и отклонить операцию в офлайне, если пин не введен, или терминал его ввод не поддерживает.