Как безопаснее перевести деньги на карту или номер телефона

Популярный способ расплатиться за товар или услугу — перевод денег с карты на карту. Когда вы платите картой в крупнейших электронных магазинах вроде Amazon или Ebay, то вопрос о безопасности платежа как правило не стоит. Но возникают естественные сомнения, безопасно ли сообщать номер своей кредитной карты другим лицам, пересылать в СМС и т.д.

В этой статье будут рассмотрены способы обеспечения безопасности интернет переводов денег и онлайн-платежей. Упомянем, как безопасно перевести деньги незнакомому человеку или получить деньги на карту от постороннего. Поговорим о том, можно ли обойти защиту и снять деньги с банковской карты, зная только ее номер. Ну и наконец — как предотвратить мошеннические действия по отношению к своему карточному счету.

Можно ли похитить деньги, зная номер карты?

В настоящее время банки-эмитенты пластиковых карточек, бесплатно предоставляя своим клиентам сервисы дистанционного самообслуживания — интернет-банк и мобильное приложение для смартфона (мобильный банк) — делают доступной опцию простого перевода денег онлайн по номеру карты получателя.

Сервис Card2Card

В интернете есть множество сервисов Card2Card, с помощью которых держатели пластика любых российских банков могут делать переводы денег с карты на карту без регистрации и авторизации на этих сервисах.

Такую возможность предоставляют:

• Альфа-банк, alfaportal.ru
• ВТБ, https://perevodworld.vtb.ru
• МКБ, https://pay.mkb.ru
• Тинькофф Банк, https://www.tinkoff.ru/cardtocard
• платежный сервис «А3», https://www.a-3.ru/pay_transfer
• система денежных переводов ЮНИСТРИМ, card2card.unistream.ru
• другие организации

Таким образом, чтобы получить от другого человека перевод на карту, достаточно сообщить ему номер своей, оттиснутый на ее лицевой стороне.

В стандартном варианте для перевода денег другому лицу со своей карты через сервис банка-эмитента, отправитель должен сначала ввести логин и пароль, затем подтвердить авторизацию одноразовым SMS-кодом, который будет автоматически сгенерирован и прислан на сотовый телефон.

Альтернативой является список кодов транзакции, подтверждающих операцию — они могут быть присланы банком просто в виде бумажного письма или генерироваться специальным устройством. Так банк убеждается, что доступ к своим деньгам действительно получает держатель карты.

Чтобы осуществить онлайн перевод частному лицу через Card2Card сервис, кроме номера карточки получателя отправитель должен ввести следующие конфиденциальные данные своего пластика:

1. номер карты, с которой отправляются средства;
2. срок действия карты (обозначен на лицевой стороне пластика);
3. секретный код (нанесен на оборотную сторону пластика);
4. подтвердить транзакцию одноразовым SMS-кодом, присылаемый на сотовый телефон, к номеру которого «привязан» счет карты.

Некоторые сервисы для перевода средств физическим лицом с одного счета на другой по номеру пластика требуют также ввести имя держателя карты (англ. cardholder name) в том виде, в котором оно оттиснуто на лицевой стороне пластика. Например, на сбербанковской карточке имя Александр может быть указано как ALEXANDR, на карте другого эмитента — как ALEKSANDR. Писать нужно так, как решил выпустивший карту банк.

Возникает логичная мысль, что операции Card2Card — настолько безопасные платежи, что номер своей карты можно разглашать безбоязненно. Ведь не зная остальных данных и не имея доступа к «привязанному» сотовому телефону, сторонние лица не могут выполнять транзакции с чужой картой? Но даже если опустить возможность потери/кражи телефона с банковскими данными, это не совсем так.

Защита платежей по технологии 3D-Secure

Защита карточки путем обязательного подтверждения онлайн-операций — переводов и платежей — одноразовыми SMS-паролями выполняется по технологии 3D-Secure. Если держатель карты желает дистанционно управлять деньгами на карточном счете и при наличии других банковских счетов, открытых в этом же банке на его имя, ему приходится обязательно давать «добро» на подключение 3D-Secure. Эта услуга, как и мобильное приложение с интернет-банком, бесплатна.

Однако существуют интернет-ресурсы — включая весьма популярные — где одноразовые SMS-пароли для подтверждения операций не требуются. Причем с точки зрения международного и отечественного законодательства прием платежей на сайте без 3D-Secure не является нарушением.

В числе упомянутых веб-ресурсов:

1. крупная система переводов электронных денежных средств PayPal;
2. крупнейший интернет-гипермаркет Amazon;
3. магазин развлечений Google Play;
4. ряд сервисов онлайн-бронирования отелей за границей и аренды авто в зарубежных турпоездках.

Секретный код CVC2 / CVV2

Секретные цифры CVC2 либо CVV2, которые указаны на оборотной стороне пластика, обязательно вводить при переводе денег с карты на карту. Но интернет-магазины могут либо запрашивать секретный код карты, либо не делать этого. Дело в том, что данный код предназначен для того, чтобы помочь сервису идентифицировать покупателя, хранить код сервис не вправе.

Однако в целом онлайн магазину все равно, кто купил у него товар — так что (как и технологию 3D-Secure) использовать CVC2 / CVV2 для защиты денег покупателя продавцы не обязаны. Если же взять вариант списания средств, то трехзначный код предполагает не более 1000 возможных комбинаций, поэтому реально попробовать простой перебор.

Важно: мошенникам известны списки сервисов, не запрашивающих CVC2 / CVV2 и SMS-коды

Имя держателя карты и срок действия

Существуют интернет-магазины и онлайн-сервисы, где для совершения платежа нужно вводить только:

• номер карточки;
• имя держателя;
• срок действия пластика (или виртуальной карты)

Узнать имя держателя по номеру карточки злоумышленнику вполне по силам. Обычно к номеру прилагается какая-то информация о человеке — хотя бы аккаунт в соц. сетях. В сети циркулируют нелегальные веб-ресурсы с базами данных по банковским картам, где по номеру пластика доступны и имя клиента банка, и другие сведения — телефон, адрес регистрации по месту проживания.

Срок действия карты вполне можно подобрать, поскольку по номеру карточки мошеннику не составит труда вычислить платежную систему (MasterCard, VISA, другая) и название банка-эмитента. После чего можно уточнить, на какой срок он выпускает те или иные карты — вариантов будет заметно меньше, чем при переборе кодов безопасности.

Напрямую перевести себе деньги у злоумышленника, может, и не получится, но купить за чужие средства дорогостоящие товары, потом продать и положить деньги себе в карман — реально.

Тем не менее это не значит, что сами по себе интернет магазины и оплата по ним кредиткой — зло. В надежных магазинах проблем обычно не возникает, по ряду карт реализована услуга возврата средств. Речь здесь о том, что некоторые сервисы (возможно, неплохие сами по себе) могут быть использованы как «лазейка» для пользования чужими деньгами.

Как безопасно получать переводы на карту

Итак, переводы денег с карты на карту по ее номеру это возможный, но часто нежелательный вариант, особенно если переводящее деньги лицо — не родственник и не проверенный друг. Ситуация на практике — вы потеряли деньги на спекуляциях, а вам звонят и предлагают возместить их на карту. Денег вы почти наверняка не дождетесь, зато номер вашей карты может начать гулять по сети.

Российский банк в случае суда скорее всего постарается доказать, что вы передавали данные третьему лицу. Международные банки ведут себя по-разному — ведь если вина за нелегальное снятие денег окажется на системе безопасности банка, то дешевле будет возместить убыток и не придавать случай огласке. Однако на практике чаще всего виноват сам клиент.

Конечно, банк банку рознь. У меня был реальный случай, когда банк заблокировал транзакцию с моего счета на достаточно крупную сумму. Узнал я об этом только от банка, а причиной блокировки стало неожиданное место снятия денег на другом континенте. При этом я не помню, чтобы кому-то сообщал номер карты или покупал товары на «левых» ресурсах. Карту бесплатно перевыпустили. Так что при работе с картой соблюдайте следующие инструкции — иначе вам может повезти меньше, чем мне:

• пользуйтесь только дистанционными сервисами банка-эмитента, а при краткосрочной потере доступа к ним — только надежными приложениями Card2Card;
• платите картой онлайн только в проверенных интернет-магазинах;
• по возможности избегайте оплаты картой в мелких кафе и забегаловках;
• периодически меняйте пароли, если у вас есть доступ к банку онлайн;
• не храните в сети полную информацию о карте. Используйте антивирусы

Держателям кредитных карточек также необходимо помнить, что операция перевода кредитных денег онлайн по банковским правилам приравнивается к снятию наличных. За такие транзакции нередко удерживается большая комиссия. Перевод частному лицу выгодно делать только за счет собственных средств, которые хранятся на дебетовых картах — комиссию за перевод обычно платит отправитель и она составляет около 0.5-2% от суммы перевода. Как еще можно обезопасить интернет переводы денег?

✅ Отключите оплату в интернете

Самый простой вариант — давать номер карты желающим делать платежи и переводы, но перед этим отключить возможность оплачивать с этого пластика покупки в интернете  и производить исходящие денежные переводы онлайн. Вариант — для карт вроде Visa Electron удаленная оплата запрещена самим банком и ее номер можно спокойно передавать для приема средств.

Альтернатива отключению этой опции — установка лимита по онлайн-операциям, чтобы мошенники смогли воспользоваться только небольшой суммой средств (например, 500 рублей).

Важно: не всеми банками-эмитентами предусмотрена такая опция. Например, чтобы защитить карту Сбербанка, нужно полностью отключить услугу «Мобильный банк».

✅ Переводы через безопасные формы

Существует также вариант получения перевода с карты на карту, не предоставляя отправителю номер карточки получателя — использование специального сервиса, генерирующего готовую форму перевода, где данные получателя скрыты.

Например, можно зарегистрироваться на 2mycard.ru, подключить карту, верифицировать ее и свой профиль пользователя (с использованием сотового телефона и/либо электронной почты), получить ссылку на форму для отправки денег и делиться в интернете ею, а не номером пластика.

Разумеется, получателю денег о мерах безопасности при интернет-серфинге также нужно помнить и столь же строго их придерживаться, как и отправителю. Вряд ли можно полностью исключить взлом подобного сервиса с потерей данных.

✅ Принимайте платежи по межбанковскому переводу

Самый надежный способ получать деньги — не с карты на карту, а межбанковскими переводами средств со счета на счет. Это то, для чего межбанковский перевод изначально предназначен, тогда как прочие более поздние варианты имеют лишь преимущество очень быстрого или даже мгновенного получения средств. Но как было показано, нередко за счет повышенных рисков потери контроля над счетом.

Если отправитель денег использует интернет-банк и дебетовую карту с тарифом, по которому межбанковские переводы бесплатные либо достаточно дешевые, он сможет осуществлять транзакции без труда. Нужно ввести банковские реквизиты получателя — при желании как правило есть возможность создать шаблон платежа и использовать его для следующих переводов. Такой перевод редко идет больше 2-3 рабочих дней.

Стандартный перечень банковских реквизитов для перевода средств физическим лицом в рублях другому физическому лицу на счет в российском банке (в том числе на счет, к которому привязана карта) включает:

1. ФИО получателя;
2. номер лицевого счета получателя;
3. наименование банка получателя и его местонахождение;
4. БИК банка;
5. корреспондентский счет банка получателя

Эти данные позволяют перевести на счет деньги, но отправитель лишен возможности сделать что-либо еще. Чтобы сообщить отправителю номер лицевого счета, можно найти его в бумагах, полученных на руки вместе с картой, либо в интернет-банке (мобильном приложении). Номер счета получателя уникален и состоит из 20 цифр. У российских банков он начинается либо на 40817, либо на 423. При онлайн-банкинге часть данных может подставиться автоматически — например, название банка определяет его БИК.

В последнее время очень большую популярность получила услуга по переводу средств по номеру карты. На первый взгляд логично: пластик есть у каждого, данные для перевода в виде номера карты всегда с собой, четыре группы по четыре цифры относительно просты для передачи отправителю, ошибка при вводе данных будет сразу же выявлена до отправки денег, перевод почти мгновенный, стоимость разумная.
Казалось бы, в чем проблема.
Проблема одна, но самая критичная: номера карты с легким подбором остальных данных достаточно для кражи денег. Набор информации для платежа через интернет, телефон или другой способ без личного присутствия картодержателя состоит из номера карты, фамилии, имени и срока действия карты. При этом для неименных карт фамилия и имя хотя и передаются, но не проверяются банком-эмитентом, выпустившем карту. А бывает и так, что банк не проверяет ФИО и для именных карт. Рационального объяснения такому поведения нет, просто банальная халатность.
Передача номера карты аналогична передаче ключей от сейфа с деньгами — мошеннику остается лишь узнать местоположение сейфа. И если ключи являются вещественным предметом, пропажа которого сразу заметна, то кражу данных карты во их время передачи пусть даже самому надежному человеку зафиксировать практически невозможно. Публикация номера пластика в интернете сродни разбрасыванию ключей от сейфа по всему земному шару. Не удивлюсь, если сбор выложенных в социальных сетях данных карты уже поставлен на поток. Формат данных очень простой, написать парсер для Фейсбука, ВКонтакта, Одноклассников тоже не проблема.

Как осуществляется подбор недостающих данных
Это не инструкция, но данное знание поможет понять, насколько уязвима защита карт.
Имя и фамилия редко скрываются. При минимальном навыке поиска найти ФИО можно практически по любому засветившемуся в интернете человеку. Остается срок действия карты. По номеру карты вычисляется выпустивший ее банк. Информация о количестве лет, на которое конкретный банк выпускает карту, открыта. Для большинства эмитентов это два или три года, в редких случаях пять лет. Даже если не использовать вспомогательную информацию о пользователе, которая могла бы сузить период действия карты (например, пользователь может сделать пост о том, как он вчера стал счастливым клиентом банка X), то всего два-три десятка вариантов перебора. Насколько банки тщательно следят за подозрительными запросами, в частности за прямым перебором данных карты, можно судить по этой теме. Это не дешевый фильм о хакерах, это наша реальность. Банк принес в суд тринадцать листов, на которых была информация о более чем шестистах неудачных попыток платежей с прямым перебором CVV2, и все равно продолжал утверждать, что в хищении денег виноват сам клиент, проявивший халатность!

Про дополнительную защиту
Чуть подробнее о CVV2. CVV2 или CVC2 — секретный код, который указывается на обратной стороне карты и никогда ни при каких условиях не должен передаваться кому бы то ни было, кроме продавцов. При этом продавец невправе хранить данную информацию, он может только передать ее в платежную систему для идентификации. Но запрос у клиента CVV2 является не обязанностью продавца, а его правом для уточнения, что карта используется легально. Это означает, что данный код необязателен для совершения платежей. Банк может запретить платежи без указания CVV2, но такие крупнейшие магазины и системы оплаты как Amazon и Paypal этот код не используют, потому что они предоставляют сервисы автоматической периодической оплаты, а CVV2 хранить они не имеют право, как уже сказано выше. Перед банком встает выбор: либо защита, либо возможность его клиентам пользоваться Paypal’ом и множеством других сервисов. Я пока не знаю ни одного банка, который сделал бы выбор в пользу защиты.
Еще есть технология 3D-Secure. При оплате в интернете на телефон клиента в смс высылается секретный код, действующий несколько минут для одного конкретного платежа. Вместо смс может использоваться карта с кодами доступа, но смысл тот же — одноразовый пароль для подтерждения операции. Кроме того, что телефон и карту можно потерять (а некоторые люди в телефоне хранят данные карт и даже пин-коды!), эта технология уязвима точно так же, как и CVV2 код. 3D-Secure не является обязательным для оплаты. Его использование остается на усмотрение продавца. В силу технического ограничения данная технология не используется в Paypal, Amazon и т.д., и снова банки не готовы пожертвовать сервисом ради безопасности.
В конечном итоге получается, что минимальным набором данных для оплаты в интернете являются номер карты и срок ее действия. В большинстве случаев набор чуть шире: нужны фамилия и имя. И будьте уверены, мошенники точно знают сервисы, которые не запрашивают CVV2 и не используют 3D-Secure.

Варинты развития событий, если был сделан перевод по номеру карты
Хорошо, предположим, что в интернете данные не публикуются, а перевод должен сделать очень близкий человек, который точно не украдет ваши деньги. Можете ли вы быть уверены, что этот человек не запишет номер карты на каком-нибудь листочке, который потом выкинет в мусорку около банкомата, где совершал перевод? Не оставит ли он этот листочек на видном месте? Проще говоря, можете ли вы быть на сто процентов уверены, что данные не были случайно, неявно переданы еще кому-то? Этот вариант вполне возможен.
Хорошо, предположим даже, что номер карты был запомнен, использован для легального перевода, а потом сразу же забыт и действительно никому не передавался. Но деньги у вас украли. Вы идете в банк, банк вас посылает (гарантировано), вы идете в суд. Далее на слушании последует примерно такой диалог между Клиентом и Банком:
-(Б) Передавали ли Вы данные карты третьим лицам?
-(К) Нет.
-(Б) Вот информация о переводе на вашу карту по ее номеру. Вы сами осуществляли этот перевод между своими картами?
-(К) Нет, но перевод делала жена/отец/лучший друг (супруг, с которым прожито пятьдесят лет, тоже является третьим лицом)
-(Б) Вы передавали данные карты третьим лицам, а значит нарушили банковский договор и скомпрометировали карту. До свидания.
У банка действительно нет никаких оснований верить вам на слово, что другой человек не мог украсть деньги сам или неумышленно разгласить номер карты. И ни суду, ни банку уже будет неважно, что ваша жена делала перевод в Москве, а деньги украли на торговую точку Афганистана.

Для чего банки внедряют настолько опасную услугу перевода денег по номеру карты
Возможно, это просто рвачество и разгильдяйство, на что намекает случай с сотнями попыток подбора CVV2. К тому же, если деньги украдут, то клиент должен будет доказывать свою невиновность. Шансы, что дело дойдет до суда, и клиент докажет свою правоту, минимальны.
А возможно наоборот — банки смотрят в будущее, а точнее обезопасивают себя от рисков, связанных с вступлением в силу с 2014 года (если банки опять не пролоббируют перенос срока) части федерального закона «О национальной платежной системе», которая дает презумпцию невиновности клиентам. Это означает, что банки должны будут доказывать виновность клиента, чтобы не возмещать похищенные средства. В случае, если клиент хотя бы раз получил перевод на карту, данный клиент автоматически считается скомпрометировавшим секретные данные, и в суде произойдет вышеуказанный диалог.

Вывод
Передавать номер карты кому бы то ни было можно только при условии, что оплата этой картой в принципе невозможна без личного присутствия картодержателя. Для Visa Electron и Maestro в большинстве случаев удаленная оплата запрещена, их можно использовать в качестве карт-доноров. Но необходимо удостовериться в банке, что карту действительно нельзя использовать в интернете. Оптимально, чтобы это было прописано в официальных документах. Тогда вы защищены и можете не бояться разглашать данные пластика.

Как безопасно переводить деньги
Самый старый, проверенный и полностью безопасный способ — межбанковский перевод. Он, к сожалению, не очень удобен, хотя это дело привычки.
Для межбанка необходимо знать ФИО, БИК банка-получателя (открытая информация, доступная в интернете), счет получателя. Еще нужен комментарий, отражающий цель перевода. Стандартный комментарий такой: «Некоммерческий перевод. Не облагается НДС». Номер счета не является конфиденциальной информацией. По нему можно узнать тип счета (текущий, вклад и т.д.) и валюту счета. Плюс на него можно получить деньги, но нельзя использовать. Проще говоря, предоставив данные для межбанковского перевода вы даете информацию о том, что в таком то банке у вас открыт счет, и на этом все. Получить доступ к вашим деньгам по этим данным невозможно.
По сравнению с карточным переводом межбанк долгий — деньги по закону идут в течении пяти рабочих дней, по факту один рабочий день (иного пока не встречал). Зато они сразу появляются на счету, в отличие от перевода на карту, когда деньги на пластике доступны сразу (их можно использовать посредством карты), а финальное зачисление произойдет через несколько дней (до зачисления нельзя использовать деньги через номер счета).
По стоимости межбанковский перевод в большинстве банков сравним с карточным (от 0.5% до 2%). Но ситуация быстро меняется. Некоторые банки предоставляют этот сервис абсолютно бесплатно, например, 2ТБанк. Какие-то берут фиксированную символическую сумму в десять или двадцать рублей — это Авангард и Хоумкредит. Власти на данный момент рассматривают, как можно простимулировать кредитные организации снизить стоимость перевода до пары десятков рублей. В реальности переводы станут почти бесплатными, когда цену этой услуги понизит Сбер.
FAQ по межбанковским переводам — настоятельно рекомендую. Хорошо объясняются основные принципы и понятия.
Для желающих изучить тему досконально ссылка на Положение ЦБ РФ по Московскому региону.
Здесь можно посмотреть информацию о текущем состоянии системы переводов ЦБ.

Итог
Переводам по номеру карты нет. Межбанку да!
Сейчас мне проще оплатить газ и другие коммунальные услуги межбанковским переводом, чем искать в разделе «Платежи» интернет-банка какой-нибудь «Межрегионгаз» или ЖКХ «Красный коммунист», не говоря уже о походе в отделение банка.
Основная проблема при переводе денег другим людям — объяснить, где они могут найти номер своего счета. Но она сама собой решится с повышением уровня финансовой грамотности