CVV и CVC на банковской карте: что это и где находится

CVV и CVC — это коды безопасности. Банки печатают их на карточках для подтверждения онлайн-платежей. Они не нужны при оплате через терминал, но становятся обязательными при покупках в интернете. В отличие от PIN-кода, который подтверждает личность держателя в офлайн-операциях, CVV/CVC подтверждает, что карточка физически находится у плательщика.

CVV (Card Verification Value) и CVC (Card Verification Code) — разные названия одного и того же элемента: кода верификации платежной карточки. Чтобы детально разобраться, что такое CVV на банковской карте и что такое CVC на банковской карте, важно понять: оба термина описывают трех- или четырехзначную, последовательность цифр, которую выпускает банк-эмитент.

Банки не хранят этот код на магнитной полосе, а системы не передают его при бесконтактной оплате — именно поэтому он остается актуальным инструментом защиты при онлайн-транзакциях.

Разница — только в терминологии. Visa называет этот код CVV, Mastercard использует аббревиатуру CVC. Принцип работы, расположение на карточке и функция у них идентичны.

Если вы впервые столкнулись с онлайн-оплатой, вопрос о том, что такое на карте CVC и CVV, имеет простой ответ — это базовый инструмент верификации. На практике оба обозначения применяют как взаимозаменяемые.

CVV2 и CVC2 — это коды второго поколения, которые используются специально для интернет-платежей. Именно они напечатаны на обороте большинства карт.

Первое поколение (CVV1 и CVC1) разработчики записали на магнитную полосу, поэтому терминал считывает его только при физическом использовании карточки. Для онлайн-оплаты оно не применяется.

У разных платежных систем — свои термины для кода безопасности:

• Visa — CVV2;
• Mastercard — CVC2;
• Мир — CVP2 (Card Verification Parameter 2);
• UnionPay — CVN2.

Механизм идентичен. Разница только в названии, которое выбрала конкретная платежная система.

CVV/CVC нужен в ситуациях, когда карта не присутствует физически, а эквайринг обрабатывает операцию удаленно. Это стандарт CNP-транзакций (Card Not Present).

Наиболее распространенные сценарии: покупки в интернет-магазинах, оформление подписок на стриминговые сервисы, оплата SaaS-продуктов, рекуррентные платежи (когда средства списываются автоматически по расписанию), а также доступ к международным сервисам — облачному ПО, рекламным кабинетам, зарубежным маркетплейсам.

При оплате зарубежных подписок и SaaS-сервисов сервисы запрашивают код безопасности практически всегда. Если карточка не поддерживает международные операции или не подходит по требованиям платежной формы, стоит рассмотреть карту для оплаты зарубежных сервисов с нужными параметрами.

На пластиковой карте
На карточках Visa и Mastercard трехзначный CVV/CVC расположен на обороте — в поле для подписи, после четырех последних цифр номера. Именно три последние цифры в этом поле и есть нужный код.

На карточках American Express четырехзначный код находится на лицевой стороне, над номером карты — справа или слева в зависимости от дизайна.

На виртуальной карте
Виртуальная карта не имеет физического носителя, поэтому CVV/CVC отображается в личном кабинете или приложении банка. Как правило, приложение скрывает код по умолчанию и показывает его только после верификации по SMS или биометрии.

Подробнее о том, как устроены такие продукты — в материале про виртуальную карту для международных платежей.

На корпоративной карте
Корпоративные карты работают по тому же принципу. Код безопасности расположен на обороте пластика или доступен в интерфейсе управления карточками. В некоторых финтех-сервисах для каждой виртуальной карточки генерируется отдельный CVV-код — это позволяет разграничивать расходы по направлениям и контролировать биллинг.
Схема расположения реквизитов карты:
┌─────────────────────────────────────┐
│  [Логотип банка]        [Чип]       │
│                                     │
│  4276 1234 5678 9012   ← Номер      │
│                                     │
│  Срок: 09/28          [Логотип PS]  │
│  ИВАНОВ ИВАН                        │
└─────────────────────────────────────┘
Оборот:
┌─────────────────────────────────────┐
│  [Магнитная полоса]                 │
│  ┌──────────────────────────┐ [123] │
│  │ Поле для подписи         │  ↑    │
│  └──────────────────────────┘ CVV2  │
└─────────────────────────────────────┘

Маскирование — это один уровень защиты, не единственный и не самодостаточный.

Маска скрывает номер карточки от визуального считывания, но не защищает от ситуаций, когда мошенник уже имеет доступ к аккаунту пользователя. Если авторизация в сервисе скомпрометирована — маска не остановит несанкционированные действия.

Кроме того, сама по себе маска не шифрует данные при передаче и не влияет на то, как реквизиты хранятся в базе данных сервиса. Это задача шифрования, PCI DSS-сертификации и токенизации.

Еще один момент: маска не защищает от фишинга. Если пользователь самостоятельно вводит полные данные карточки на поддельном сайте — никакое маскирование в других сервисах этому не помешает.

Маска банковской карты — стандартный инструмент защиты платежных данных, встроенный в интерфейсы банков, магазинов, корпоративных систем и SaaS-сервисов. Она позволяет пользователю идентифицировать карточку, не раскрывая реквизиты, и снижает риски при компрометации аккаунта или случайном доступе посторонних.

При этом маскирование работает в связке с другими механизмами: токенизацией, шифрованием, антифрод-системами и лимитами. Рассчитывать только на нее как на единственную меру безопасности не стоит.

Если вам нужна помощь в подборе виртуальных карт с нужными параметрами безопасности и контроля расходов — можно задать вопрос специалисту neoved.

Автор: Команда neoved