CVV и CVC на банковской карте: что это и где находится

CVV и CVC — это коды безопасности. Банки печатают их на карточках для подтверждения онлайн-платежей. Они не нужны при оплате через терминал, но становятся обязательными при покупках в интернете. В отличие от PIN-кода, который подтверждает личность держателя в офлайн-операциях, CVV/CVC подтверждает, что карточка физически находится у плательщика.

CVV (Card Verification Value) и CVC (Card Verification Code) — разные названия одного и того же элемента: кода верификации платежной карточки. Чтобы детально разобраться, что такое CVV на банковской карте и что такое CVC на банковской карте, важно понять: оба термина описывают трех- или четырехзначную, последовательность цифр, которую выпускает банк-эмитент.

Банки не хранят этот код на магнитной полосе, а системы не передают его при бесконтактной оплате — именно поэтому он остается актуальным инструментом защиты при онлайн-транзакциях.

Разница — только в терминологии. Visa называет этот код CVV, Mastercard использует аббревиатуру CVC. Принцип работы, расположение на карточке и функция у них идентичны.

Если вы впервые столкнулись с онлайн-оплатой, вопрос о том, что такое на карте CVC и CVV, имеет простой ответ — это базовый инструмент верификации. На практике оба обозначения применяют как взаимозаменяемые.

CVV2 и CVC2 — это коды второго поколения, которые используются специально для интернет-платежей. Именно они напечатаны на обороте большинства карт.

Первое поколение (CVV1 и CVC1) разработчики записали на магнитную полосу, поэтому терминал считывает его только при физическом использовании карточки. Для онлайн-оплаты оно не применяется.

У разных платежных систем — свои термины для кода безопасности:

• Visa — CVV2;
• Mastercard — CVC2;
• Мир — CVP2 (Card Verification Parameter 2);
• UnionPay — CVN2.

Механизм идентичен. Разница только в названии, которое выбрала конкретная платежная система.

CVV/CVC нужен в ситуациях, когда карта не присутствует физически, а эквайринг обрабатывает операцию удаленно. Это стандарт CNP-транзакций (Card Not Present).

Наиболее распространенные сценарии: покупки в интернет-магазинах, оформление подписок на стриминговые сервисы, оплата SaaS-продуктов, рекуррентные платежи (когда средства списываются автоматически по расписанию), а также доступ к международным сервисам — облачному ПО, рекламным кабинетам, зарубежным маркетплейсам.

При оплате зарубежных подписок и SaaS-сервисов сервисы запрашивают код безопасности практически всегда. Если карточка не поддерживает международные операции или не подходит по требованиям платежной формы, стоит рассмотреть карту для оплаты зарубежных сервисов с нужными параметрами.

На пластиковой карте
На карточках Visa и Mastercard трехзначный CVV/CVC расположен на обороте — в поле для подписи, после четырех последних цифр номера. Именно три последние цифры в этом поле и есть нужный код.

На карточках American Express четырехзначный код находится на лицевой стороне, над номером карты — справа или слева в зависимости от дизайна.

На виртуальной карте
Виртуальная карта не имеет физического носителя, поэтому CVV/CVC отображается в личном кабинете или приложении банка. Как правило, приложение скрывает код по умолчанию и показывает его только после верификации по SMS или биометрии.

Подробнее о том, как устроены такие продукты — в материале про виртуальную карту для международных платежей.

На корпоративной карте
Корпоративные карты работают по тому же принципу. Код безопасности расположен на обороте пластика или доступен в интерфейсе управления карточками. В некоторых финтех-сервисах для каждой виртуальной карточки генерируется отдельный CVV-код — это позволяет разграничивать расходы по направлениям и контролировать биллинг.

Схема расположения реквизитов карты:
┌─────────────────────────────────────┐
│  [Логотип банка]        [Чип]       │
│                                     │
│  4276 1234 5678 9012   ← Номер      │
│                                     │
│  Срок: 09/28          [Логотип PS]  │
│  ИВАНОВ ИВАН                        │
└─────────────────────────────────────┘
Оборот:
┌─────────────────────────────────────┐
│  [Магнитная полоса]                 │
│  ┌──────────────────────────┐ [123] │
│  │ Поле для подписи         │  ↑    │
│  └──────────────────────────┘ CVV2  │
└─────────────────────────────────────┘

CVV/CVC вводят на страницах оплаты с HTTPS-соединением — это видно по замку в адресной строке браузера. Безопасные сценарии: оплата через форму интернет-магазина с 3D Secure, авторизация в платежных сервисах, оформление подписок на проверенных платформах, внесение карточки в Apple Pay или Google Pay.

Мобильный кошелек запрашивает код один раз при добавлении карточки. После этого токенизация заменяет реальные реквизиты виртуальным идентификатором, и CVV в дальнейших операциях не передается.

Код безопасности нельзя передавать ни при каких обстоятельствах, если у вас просят код вне платежной формы.

Это касается:

• звонков — даже от тех, кто представляется сотрудником банка;
• сообщений в мессенджерах под любым предлогом;
• запросов в социальных сетях или через форму в чате поддержки;
• электронной почты — включая письма, имитирующие официальные уведомления.

Банки не запрашивают CVV по телефону. Это стандартная позиция всех платежных систем. Если такой запрос поступает — это признак мошенничества.

Обращение с CVV/CVC регулируется международным стандартом PCI DSS (Payment Card Industry Data Security Standard). Согласно его требованиям, код безопасности нельзя хранить после авторизации — даже в зашифрованном виде.

Токенизация заменяет реальные реквизиты карточки уникальным токеном, который не несет платежной ценности сам по себе. Именно поэтому Apple Pay и Google Pay безопаснее прямого ввода данных.

Антифрод-системы анализируют паттерны операций в режиме реального времени и блокируют подозрительные транзакции до процессинга. Шифрование данных при передаче через платежный шлюз исключает перехват реквизитов на стороне канала.

Несколько практических правил, которые снижают риск компрометации реквизитов.

Не фотографируйте карточку и не пересылайте фото в мессенджерах — даже доверенным контактам. Хранить изображение с видимым CVV небезопасно: достаточно одного взлома аккаунта. Проверяйте адрес сайта перед вводом данных: мошенники создают страницы, визуально идентичные настоящим.

Используйте отдельные карточки для разных типов расходов. Для онлайн-подписок и зарубежных сервисов удобны виртуальные карты с выделенным лимитом — даже если данные окажутся скомпрометированы, основной счет останется защищен. Подключите push-уведомления по всем операциям: это позволяет заметить несанкционированное списание сразу.

Виртуальная карта зарубежного банка в контексте безопасности работает как изолированный инструмент. Даже если CVV такой карточки будет скомпрометирован, атака ограничивается средствами именно на этой карте, а не на основном счете компании.

Разделение расходов
Отдельная виртуальная карта на каждое направление — рекламный бюджет, SaaS, командировки — дает четкую картину расходов без ручной сверки выписок.

Отдельные лимиты
На виртуальную карту устанавливают лимит, соответствующий конкретной задаче. Это ограничивает возможный ущерб при попытке несанкционированного списания.

Контроль подписок
Рекуррентные платежи привязаны к конкретной карточке. Если нужно остановить подписку — карту блокируют или перевыпускают, не затрагивая остальные операции.

Защита основного счета
Основной счет компании не фигурирует в операциях онлайн-сервисов. Это снижает риски, связанные с утечками данных на стороне интернет-магазина или платежного шлюза.

Если нужна карта для международных расчетов и зарубежных сервисов — можно рассмотреть оформление карты иностранного банка с нужными параметрами и лимитами.

Для оплаты зарубежных сервисов многие компании используют отдельные виртуальные карты с лимитами и контролем расходов. Это снижает риски компрометации основного счета.

CVV и CVC — это коды верификации, которые подтверждают принадлежность карточки при онлайн-платежах. Разные платежные системы используют разные названия, но принцип работы одинаков. Код нельзя передавать третьим лицам и хранить на серверах после авторизации.

Дополнительный уровень защиты — виртуальные карты с изолированными лимитами. Они снижают риск компрометации основного счета при работе с зарубежными сервисами и рекуррентными платежами.

Если нужна консультация по выбору карты для онлайн-расходов или международных платежей — мы в neoved готовы разобрать вашу ситуацию и предложить подходящий вариант.