Хабр Курсы для всех
РЕКЛАМА
Практикум, Хекслет, SkyPro, авторские курсы — собрали всех и попросили скидки. Осталось выбрать!
Хабр доступен 24/7 благодаря поддержке друзей
Комментарии 101
Я понимаю, что мой вопрос немного некорректен и каждый конкретный случай необходимо рассматривать отдельно, но, все же, может вы сможете хотя бы намекнуть, почему иногда (если не сказать очень часто) держатель карты должен пройти 7 кругов бюрократического ада, чтобы доказать банку-эквайеру, что транзакцию совершил не он.
Причем беда с этим как при опротестовывании онлайн-транзакций, так и при опротестовывании обычной транзакции в самом обычном магазине.
У буржуев, насколько я знаю, все гораздо проще.
Причем беда с этим как при опротестовывании онлайн-транзакций, так и при опротестовывании обычной транзакции в самом обычном магазине.
У буржуев, насколько я знаю, все гораздо проще.
Не знаю как у вас проходил АД, но у меня в 3 случаях все ограничивалось написанием заявления и ожиданием 30-60 дней и возврат денег.
1. отель списал деньги за ночь, хотя я отказался и штрафа не должно было быть
2. Списание штрафа за неправильную парковку, но они не смогли предъявить никаких доказательств этого
3. Списание за повреждения авто (вместо денег за 1 коплак колеса, сняли за 4)
во всех случаях деньги были возвращены.
1. отель списал деньги за ночь, хотя я отказался и штрафа не должно было быть
2. Списание штрафа за неправильную парковку, но они не смогли предъявить никаких доказательств этого
3. Списание за повреждения авто (вместо денег за 1 коплак колеса, сняли за 4)
во всех случаях деньги были возвращены.
Я немного про другое. Про случаи явного мошенничества. Товарищ так попал. Где-то засветил реквизиты, прошла транзакция (благо только одна, карту успел заблокировать). Так вот ему довольно долго пришлось доказывать, что он не мошенник, а пострадавший от мошенников.
У вас все-таки несколько иные случаи, согласитесь. Когда у меня в магазине 2 раза списали деньги за покупки, тоже все вернули без вопросов. А вот жертвам мошенничества приходится зачастую побегать. На банки.ру таких историй, в свое время, массу читал.
У вас все-таки несколько иные случаи, согласитесь. Когда у меня в магазине 2 раза списали деньги за покупки, тоже все вернули без вопросов. А вот жертвам мошенничества приходится зачастую побегать. На банки.ру таких историй, в свое время, массу читал.
В России клиент банка (добропорядочный держатель карты) всегда защищён от несанкционированных транзакций по своей карте. Надо только знать ГК РФ и всё ))))
Другой момент, что у нас в стране на это приходиться тратить больше времени (чем в других странах мира) из за того что в каждом нашем российском банке-эмитенте свои правила (своя процедура возврата денежных средств), эта процедура не стандартизирована и на это накладывается так же бюрократия в каждом банке.
Другой момент, что у нас в стране на это приходиться тратить больше времени (чем в других странах мира) из за того что в каждом нашем российском банке-эмитенте свои правила (своя процедура возврата денежных средств), эта процедура не стандартизирована и на это накладывается так же бюрократия в каждом банке.
В наших банках для любой операции нужно пройти эти самые семь кругов. При том, чем крупнее банк — тем дольше будете их проходить. Даже тупо кинуть кеш на карту для интернет-платежей редко занимает меньше 15 минут. Наши банки как были совком, так им и остались, и в особенности Сбер, в который я захожу от силы раз в год, да и то в случае крайней необходимости. Сбер уже давно превратился в банк для пенсионеров, т.к. там только они и тусуются для получения пенсии и оплаты услуг ЖКХ.
А в плане обслуживания у буржуев все значительно проще не только в банковском секторе.
А в плане обслуживания у буржуев все значительно проще не только в банковском секторе.
>«Сбребанк Онлайн»
Ага. Теперь вся та же тягомотина, только в режиме он-лайн. Нет уж, спасибо. У меня зарплатная карта от Сбера. С грустью вспоминаю времена, когда четко два раза в месяц после обеда мне давали кеш на руки в кассе. Теперь же чтобы получить зарплату надо выполнить квест:
1. Найти рабочий банкомат.
2. Найти банкомат в котором есть кеш.
3. Молиться, чтобы эта скотина без предупреждения не настрогала мне зарплату сотками или пятисотками и мне не пришлось тащить пресс бабла в кармане.
Про обнал чеков по пол-года вообще молчу.
Так что уж извините, но я в этот банк больше ни ногой.
>И да, Вы не были клиентом ситибанка, раз так нахваливаете буржуев.
Нашего ситибанка, или их ситибанка? Просто насколько я знаю, что ситик, что райф — только по названию совпадают с их зарубежными офисами. Ни по уровню сервиса, ни по набору услуг, они даже близко не валялись.
Но могу по секрету сказать, что одно время я был клиентом прибалтийского банка. Хоть и не 100% Европа это, но сервис с нашим не сравнить. Разве что жопку мне они не подтирали, несмотря на то, что суммы у меня совсем небольшие там бегали. При том, что там у меня в 2000м году уже был полноценный интернет-банкинг с полным контролем над мультивалютным счетом. У нас только последние год-два банки к такому уровню начали подходить, да и то не все услуги предоставляют.
Ага. Теперь вся та же тягомотина, только в режиме он-лайн. Нет уж, спасибо. У меня зарплатная карта от Сбера. С грустью вспоминаю времена, когда четко два раза в месяц после обеда мне давали кеш на руки в кассе. Теперь же чтобы получить зарплату надо выполнить квест:
1. Найти рабочий банкомат.
2. Найти банкомат в котором есть кеш.
3. Молиться, чтобы эта скотина без предупреждения не настрогала мне зарплату сотками или пятисотками и мне не пришлось тащить пресс бабла в кармане.
Про обнал чеков по пол-года вообще молчу.
Так что уж извините, но я в этот банк больше ни ногой.
>И да, Вы не были клиентом ситибанка, раз так нахваливаете буржуев.
Нашего ситибанка, или их ситибанка? Просто насколько я знаю, что ситик, что райф — только по названию совпадают с их зарубежными офисами. Ни по уровню сервиса, ни по набору услуг, они даже близко не валялись.
Но могу по секрету сказать, что одно время я был клиентом прибалтийского банка. Хоть и не 100% Европа это, но сервис с нашим не сравнить. Разве что жопку мне они не подтирали, несмотря на то, что суммы у меня совсем небольшие там бегали. При том, что там у меня в 2000м году уже был полноценный интернет-банкинг с полным контролем над мультивалютным счетом. У нас только последние год-два банки к такому уровню начали подходить, да и то не все услуги предоставляют.
Плюс перед новым годом, первый два пункта квеста «получи зарплату в гребаном сбере», растягивается иногда на половину дня, т.к. приходится с десяток банкоматов объездить.
Вчера только снимал 10к в банкомате около дома. Эта скотина настрогала сотками и пятисотками, при том еле не подавилась этим прессом бабла.
В прошлом году перед новом годом снял бабло успешно, потому что нам заранее закинули деньги, плюс нашел банкомат на отшибе, где народ редко бывает. А вот в позапрошлом я хорошо по городу побегал на морозе, когда машина не завелась, а бабло срочно нужно было — мотался на маршрутках блин.
Может конечно разные города и разные сбербанки — не исключаю возможности, что в мск сбер стал работать нормально. Но как-то слабо верится с их раздутыми штатами и бюрократией.
В прошлом году перед новом годом снял бабло успешно, потому что нам заранее закинули деньги, плюс нашел банкомат на отшибе, где народ редко бывает. А вот в позапрошлом я хорошо по городу побегал на морозе, когда машина не завелась, а бабло срочно нужно было — мотался на маршрутках блин.
Может конечно разные города и разные сбербанки — не исключаю возможности, что в мск сбер стал работать нормально. Но как-то слабо верится с их раздутыми штатами и бюрократией.
Где связь между обычной работой банкомата как железа и как вы говорите совковостью Сбербанка и работой Сбербанк Онлайн?
Если не нравится получать зп на карту, думаю можно обратиться в свою бухгалтерию и получать деньги в кассе вашей компании.
На счет банкоматов, думаю не ошибусь, что их кол-во в населенном пункте обычно всегда больше чем у любого другого банка. Так что найти его не проблема, чего не скажешь о других.
Сбербанк конечно возможно совок еще тот, но с горем пополам пытается развиваться. Не все так уж плохо.
Если не нравится получать зп на карту, думаю можно обратиться в свою бухгалтерию и получать деньги в кассе вашей компании.
На счет банкоматов, думаю не ошибусь, что их кол-во в населенном пункте обычно всегда больше чем у любого другого банка. Так что найти его не проблема, чего не скажешь о других.
Сбербанк конечно возможно совок еще тот, но с горем пополам пытается развиваться. Не все так уж плохо.
1. Если более крупные купюры из какой-то кассеты кончились — банкомат выдаёт теми, что остались. Не вижу в этом ничего криминального. Инкассация банкомата стоит денег (сама процедура) и банк старается её проводить (вне плана) как можно реже (а не тогда, когда закончились купюры всего в одной из кассет).
2. максимальная выдача в этих банкоматах одновременно — 40 купюр. Соответственно при всём желании более 2000 рублей одновременно 50-ы рублёвыми купюрами не получите.
2. максимальная выдача в этих банкоматах одновременно — 40 купюр. Соответственно при всём желании более 2000 рублей одновременно 50-ы рублёвыми купюрами не получите.
Про то как система работает мы в курсе, и про 40 купюр тоже. В сберовских иногда можно определить что у него осталось. Если максимальную сумму он называет 20000, то остались максимум 500ки. Но у меня позавчера это не сработало :(
Убивает больше всего другое — банкомат не может спрашивать юзера, ну пусть не номинал купюр, которыми хотелось бы получить кеш, но хотя бы уверен ли он, что хочет получить свою сумму мелочью?
Убивает больше всего другое — банкомат не может спрашивать юзера, ну пусть не номинал купюр, которыми хотелось бы получить кеш, но хотя бы уверен ли он, что хочет получить свою сумму мелочью?
Те, кто работает продавцом/кассиром только порадовались бы. С их вечными проблемами с мелочью.
Я клиент райффа с 2006 года. Всегда был очень вежливый и четкий сервис, что в отделениях, что в телефонном общении.
Ну заедьте в любое отделение банка и снимите всю зарплату в кассе за один раз, еще и можете попросить, чтобы выдали нужным номиналом.
а. В отделение в рабочие дни особо нет возможности попасть, т.к. я работаю в те же часы, что и их отделения.
б. Даже если я туда попадаю в рабочий день или в субботу — там по жизни толпы народу.
Я несколько раз снимал в отделениях. Больше не хочу. Сначала минут 30-40 в душном помещении надо отстоять очередь к операционисту, потом еще минут 20 в кассу. Нафик, нафик.
б. Даже если я туда попадаю в рабочий день или в субботу — там по жизни толпы народу.
Я несколько раз снимал в отделениях. Больше не хочу. Сначала минут 30-40 в душном помещении надо отстоять очередь к операционисту, потом еще минут 20 в кассу. Нафик, нафик.
О, у вас там ад :)
Ну движение в положительном направлении в принципе есть, но блин за 20 лет могли бы уже окончательно перейти на цивилизованные стандарты.
Плюс еще в крупных банках убивает то, что клепают кучу отделений по окраинам, в которых хорошо если 10 клиентов за день побывает и операционисты весь день или в пасьянс режутся, или бумажки из кучки в кучку перекладывают. А в центре пожизненные очереди. Т.е. никто похоже не занимается оптимизацией филиальной сети. :(
Плюс еще в крупных банках убивает то, что клепают кучу отделений по окраинам, в которых хорошо если 10 клиентов за день побывает и операционисты весь день или в пасьянс режутся, или бумажки из кучки в кучку перекладывают. А в центре пожизненные очереди. Т.е. никто похоже не занимается оптимизацией филиальной сети. :(
1) А зачем вам снимать всё налом, я не понимаю? (впрочем, вы не один, конечно, но это какая-то дикая инерция мышления, когда люди получают деньги на полноценную Visa Classic и ТУТ ЖЕ их все снимают) Немалую часть транзакций можно проводить по карте, да и это тупо безопаснее, чем ходить с пачкой денег в кармане. Тем более что при наличии телебанка можно хранить деньги на текущем счету (так это называется у ВТБ24, по крайней мере — в общем, счёт, к которому не привязана карта), откуда их снять можно только при введении одноразового кода, получить который вместе с вашим паролем практически невозможно. После чего выводить через карту по мере надобности — перекинуть со счёта на счёт дело пары минут, даже в дороге через 3G. И это однозначно безопаснее, чем крупные суммы кеша.
2) Вот уже третий год являюсь клиентом ВТБ24. Никогда никаких проблем, за исключением 1 (!) офиса в Питере, который неудачно расположен и слишком маленький по площади для такого потока клиентов. Во всех остальных — пришёл, ответил на вежливый вопрос менеджера относительно цели визита, прошёл к нужному специалисту либо подождал несколько минут на удобном диванчике. Вполне удобно и мило.
>полноценный интернет-банкинг с полным контролем над мультивалютным счетом
>У нас только последние год-два банки к такому уровню начали подходить, да и то не все услуги предоставляют.
Вы не правы. Телебанк ВТБ24 предоставляет все (!) услуги, которые только можно сделать в «физическом» офисе, минимум 3 года (раньше не знаю).
2) Вот уже третий год являюсь клиентом ВТБ24. Никогда никаких проблем, за исключением 1 (!) офиса в Питере, который неудачно расположен и слишком маленький по площади для такого потока клиентов. Во всех остальных — пришёл, ответил на вежливый вопрос менеджера относительно цели визита, прошёл к нужному специалисту либо подождал несколько минут на удобном диванчике. Вполне удобно и мило.
>полноценный интернет-банкинг с полным контролем над мультивалютным счетом
>У нас только последние год-два банки к такому уровню начали подходить, да и то не все услуги предоставляют.
Вы не правы. Телебанк ВТБ24 предоставляет все (!) услуги, которые только можно сделать в «физическом» офисе, минимум 3 года (раньше не знаю).
>когда люди получают деньги на полноценную Visa Classic и ТУТ ЖЕ их все снимают
Когда в любой торговой точке, и даже платных сортирах и маршрутках, будет терминал для оплаты картами, то все сразу перестанут носить с собой кеш. Я сам жду, когда же наконец придет это светлое будущее, но оно зараза такое, не приходит. :( Да и даже в тех точках, где карты вроде как принимают, то связи с банком нет, то паспорт им покажи.
>Никогда никаких проблем, за исключением 1 (!) офиса в Питере, который неудачно расположен и слишком маленький по площади для такого потока клиентов.
Ну в Уфе у них филиальная сеть тоже не фонтан по количеству. Вот откроют побольше, тогда можно будет подумать.
>Телебанк ВТБ24 предоставляет все (!) услуги
Рад за них. Те банки, которыми пользуюсь я, все равно для большинства действий со счетом заставляют в отделение тащиться. Если увеличат сеть филиалов, то вполне можно будет задуматься о переходе к ним.
Когда в любой торговой точке, и даже платных сортирах и маршрутках, будет терминал для оплаты картами, то все сразу перестанут носить с собой кеш. Я сам жду, когда же наконец придет это светлое будущее, но оно зараза такое, не приходит. :( Да и даже в тех точках, где карты вроде как принимают, то связи с банком нет, то паспорт им покажи.
>Никогда никаких проблем, за исключением 1 (!) офиса в Питере, который неудачно расположен и слишком маленький по площади для такого потока клиентов.
Ну в Уфе у них филиальная сеть тоже не фонтан по количеству. Вот откроют побольше, тогда можно будет подумать.
>Телебанк ВТБ24 предоставляет все (!) услуги
Рад за них. Те банки, которыми пользуюсь я, все равно для большинства действий со счетом заставляют в отделение тащиться. Если увеличат сеть филиалов, то вполне можно будет задуматься о переходе к ним.
>Когда в любой торговой точке, и даже платных сортирах и маршрутках, будет терминал для оплаты картами, то все сразу перестанут носить с собой кеш.
Ну есть некоторая разница между «носить небольшое количество кеша» и «снимать вообще все деньги за раз кешем». В большинстве крупных магазинов карты принимают без проблем, а, имхо, большая часть денег именно там и тратится (продукты, одежда, железо). Опять же, даже из дома деньги воришке вынести гораздо проще, чем с банковского счёта, закрытого на пароль и одноразовый код.
И это не говоря уже об увеличении затрат для банков, клиенты которых в большинстве снимают деньги за раз в начале месяца. С учётом того, что эти затраты, в конечном счёте, ложатся на плечи клиентов — думается мне, что это порочная практика.
>Ну в Уфе
Может быть, конечно, что у вас там всё сурово. Просто в Самаре и в Питере всё ок, поэтому я и (возможно, ошибочно) экстраполировал это на все города.
Ну есть некоторая разница между «носить небольшое количество кеша» и «снимать вообще все деньги за раз кешем». В большинстве крупных магазинов карты принимают без проблем, а, имхо, большая часть денег именно там и тратится (продукты, одежда, железо). Опять же, даже из дома деньги воришке вынести гораздо проще, чем с банковского счёта, закрытого на пароль и одноразовый код.
И это не говоря уже об увеличении затрат для банков, клиенты которых в большинстве снимают деньги за раз в начале месяца. С учётом того, что эти затраты, в конечном счёте, ложатся на плечи клиентов — думается мне, что это порочная практика.
>Ну в Уфе
Может быть, конечно, что у вас там всё сурово. Просто в Самаре и в Питере всё ок, поэтому я и (возможно, ошибочно) экстраполировал это на все города.
Клиентом российского Ситибанка или американского?
Этот вопрос я думаю всегда будет актуален, и не важно он-лайн транзакция или реальная. Законодательство такое!
отличная статья
Все по делу написано. Еще хотелось бы отметить, что карту пропроцессить можно и без CVV.
Спасибо. Многое стало понятно.
Не понимаю, зачем тогда нужны технологии 3D-Secure, CVV, итд, если транзакции можно совершать в обход них? Это все равно как повесить на дверь кодовый замок, но оставить открытой дверь рядом.
Фактически, как и ожидалось, самое важное, что следует бережно хранить от всех — это номер карты и саму карту, а все остальные виды защиты не гарантируют что деньги не будут сняты.
Фактически, как и ожидалось, самое важное, что следует бережно хранить от всех — это номер карты и саму карту, а все остальные виды защиты не гарантируют что деньги не будут сняты.
От банка зависит можно ли совершать транзакции без CVV и прочих средств защиты. Не зря же народ на форумах ведет списки банков и их карт, которые нормально работают с PayPal, который CVV не передает при транзакциях.
А зачем тогда PayPal его спрашивает и для кого эта страничка https://www.paypal.com/ru/cgi-bin/webscr?cmd=p/acc/cvv_info_pop&enable_locale.x=1?
технологии эти нужны для защиты самих банков от протестов а не для защиты пользователей
Если у вас будет «красивый» номер, то не поможет даже хранить его в секрете. Знаю по опыту.
Очень бы хотелось узнать больше подробностей по поводу подбора реквизитов.
Что в предшествующем топике, что в этом авторы имеют поверхностное представление о том, о чем говорят. Ошибки которые бросаются в глаза при беглом чтении топика:
1)во всех спорах между банком-эмитентом [...] и банком-эквайером по поводу интернет-транзакций разрешаются в пользу банка-эмитента
1)во всех спорах между банком-эмитентом [...] и банком-эквайером по поводу интернет-транзакций разрешаются в пользу банка-эмитента
сорри…
Что в предшествующем топике, что в этом авторы имеют поверхностное представление о том, о чем говорят. Ошибки которые бросаются в глаза при беглом чтении топика:
1)во всех спорах между банком-эмитентом [...] и банком-эквайером по поводу интернет-транзакций разрешаются в пользу банка-эмитента
а как же правила претензионной работы и переноса ответственности?
2)Из-за этого банки-эмитенты, когда видели, что им от банка-эквайера приходит запрос на авторизацию с применением Visa 3D Secure или MasterCard SecureCode, просто отказывали в авторизации
не правда, за отказ полагаются огромные штрафы, платежные системы мониторят такие случаи
3)Неважно – ввели ли мошенники правильное имя держателя карты, или даже правильный CVC/CVV – правила платежных систем при card not present транзакциях всегда стоят на стороне держателя карты. Убытки по спорным транзакциям ложатся на банк-эквайер, который перекладывает их на интернет-магазин.
если эмитент авторизовал без CVV2/CVC — это его риски, почитайте правила платежных систем
4)на практике вам следует знать следующее: если вы используете кредитку Сбербанка, который сертифицирован и по Visa 3D Secure, и по MasterCard SecureCode, то независимо от того, использует ли банк-эквайер, обслуживающий тот или иной интернет-магазин, эту технологию, ваши транзакции полностью защищены.
не правда, не защищены, просто переносится ответственность на эквафера
…
и много много других ошибок
1)во всех спорах между банком-эмитентом [...] и банком-эквайером по поводу интернет-транзакций разрешаются в пользу банка-эмитента
а как же правила претензионной работы и переноса ответственности?
2)Из-за этого банки-эмитенты, когда видели, что им от банка-эквайера приходит запрос на авторизацию с применением Visa 3D Secure или MasterCard SecureCode, просто отказывали в авторизации
не правда, за отказ полагаются огромные штрафы, платежные системы мониторят такие случаи
3)Неважно – ввели ли мошенники правильное имя держателя карты, или даже правильный CVC/CVV – правила платежных систем при card not present транзакциях всегда стоят на стороне держателя карты. Убытки по спорным транзакциям ложатся на банк-эквайер, который перекладывает их на интернет-магазин.
если эмитент авторизовал без CVV2/CVC — это его риски, почитайте правила платежных систем
4)на практике вам следует знать следующее: если вы используете кредитку Сбербанка, который сертифицирован и по Visa 3D Secure, и по MasterCard SecureCode, то независимо от того, использует ли банк-эквайер, обслуживающий тот или иной интернет-магазин, эту технологию, ваши транзакции полностью защищены.
не правда, не защищены, просто переносится ответственность на эквафера
…
и много много других ошибок
В остальных странах, в том числе и в России, AVS не существует, поэтому ни российские, ни зарубежные интернет-магазины не могут проверить, действительно ли карта с таким-то номером принадлежит человеку с таким-то именем и фамилией.
1. Правильно ли я понимаю что американские инет магазины не смогут проверить верность моего биллинг адреса ( у меня виза от Сбербанка)?
Буквально недавно совершил первую покупку в инет магазине по карте виза. Магазин попросил указать актуальный биллинг адрес. После этого платёж прошёл. Если они не могут его проверить тогда получается что платёж проводили на свой риск??
2. Сегодня расплачивался на ебэе через пэй пал. Через некоторое время позвонил с пэй пала и уточнили делал ли я платёж. Звонили по номеру указанному в профиле. Если у них нет доверия к авторизации через пароль при платеже, то почему доверяют номеру телефона и мне?
P.S. Я в общем доволен что платежи проходят без особых проблем, просто ожидал гораздо более параноидальной ответственности от платёжных систем, а так выходит что только номера карты действительно достаточно для совершения покупки.
Ни PayPal и ни один из интернет магазинов/сервисов не проверяли мой биллинг адрес. Я его в общем сам не знаю толком, забыл. Никто никода у меня его не просил. Адреса доставки у меня однозначно отличаются от биллинг адреса.
И при этом проблем никогда с оплатой не было, разве что при крупных покупках просили прислать скан какого-нибудь документа подтверждающего личность(русские права прокатывали на забугорных сайтах уже не раз).
Не забывайте, что PAYPAL организовал (и владеет им) бывший гражданин СССР, который (прекрасно понимая особенности мышления граждан бывшего СССР) всё изначально организовал так, как надо. Поэтому там ваши русские права и проходят… ))) И именно поэтому раньше они и не работали с картами из российских эмитентов…
PayPal проверяло не адрес а сам факт платежа звонком по телефону, при том, что телефон принадлежит именно мне они никак не проверяли раньше. И короткий разговор со мной на ломанном английском их устроил.
А биллинг адрес спрашивал инет магазин, изначально я указал такой же как и адрес доставки в сша, их это не устроило. а вот когда указал свой Российский адрес их это устроило. Вот и интересно зачем им он, если всё равно проверить не смогут.
А биллинг адрес спрашивал инет магазин, изначально я указал такой же как и адрес доставки в сша, их это не устроило. а вот когда указал свой Российский адрес их это устроило. Вот и интересно зачем им он, если всё равно проверить не смогут.
Хм, мне PayPal не звонил, просто провел тестовый платеж и вроде еще попросил у них на сайте ввести код указанный в транзакции этого платежа(глянуть его можно было в интернет-банкинге моего банка).
Да, я код указывал раньше при верификации карты. И до этого сделал небольшую покупку, и не звонили. Сегодня или потому что сумма по больше, или адрес доставки отличался от адреса в профиле PayPal — вот что то им не понравилось. В общем молодцы они, что беспокоятся и проверяют, просто звонок на непроверенный телефон, на мой взгляд весьма не надёжная проверка.
Возможно как раз потому, что первый адрес был американский, его они пробили и заметили несоответствие, а российский пробить не смогли и забили на него, хоть там было бы «на деревню дедушке»
Собственно запрос на AVS экваер может отправить, только по русским картам он всегда получит «да» в ответ.
В остальных странах, в том числе и в России, AVS не существует, поэтому ни российские, ни зарубежные интернет-магазины не могут проверить, действительно ли карта с таким-то номером принадлежит человеку с таким-то именем и фамилией.
не далее как на прошлой неделе оплачивал услуги Apple, указал неправильное имя владельца карточки. В ответ пришел отлуп от менеджера. С правильным именем карточка прошла. Вывод — автор сам не понимает, как устроена система верификации.
Пожалуйста, скажите, откуда Вы взяли, что я обвиняю Сбербанк и называю конкретно показ имени владельца карты в телебанке «дырой» в безопасности?
Перечитайте, пожалуйста.
habrahabr.ru/blogs/eCommerce/109361/#comment_3472110
nут как раз Сбер не виноват, подобным способом обходится любая защита, если есть номер карты — и не спасут никакие 3D Secure, SecureCode и прочие SMS-подтверждения
habrahabr.ru/blogs/eCommerce/109361/#comment_3472141
а чем сбер виноват? люди сами пишут номер карты вместе с именем. а амазон принимает
Более того, считаю, что показ имени при переводах с карты на карту облегчает процесс проверки введённых данных, повышая удобство работы пользователя.
О чём тоже было сказано:
habrahabr.ru/blogs/eCommerce/109361/#comment_3472485
А так — удобство — ввёл цифирь (не только в интернете! Может быть пользователь стоит на морозе перед банкоматом с бумажкой в руках и пытается отправить деньги своему далёкому родственнику на карту) — убедился что «тому» — по имени, а не долго и нудно сверяя поразрядно номер карты — подтвердил.
Целью статьи было показать уязвимость перед такими транзакциями, где не проверяется CVV2/CVC2 и не участвуют дополнительные защитные механизмы.
И лишний раз привлечь внимание к проблеме конфиденциальности таких данных. Сбербанк просто наиболее популярен среди тех, кто публикует номера карт для приёма платежей подобным образом. Все эти данные в руках мошенников, даже если и не приведут к списанию средств, дают простор для социальной инженерии и прочего мошенничества.
Полностью солидарен в части, что многим неизвестно о механизмах проводки платежей по карте.
Перечитайте, пожалуйста.
habrahabr.ru/blogs/eCommerce/109361/#comment_3472110
nут как раз Сбер не виноват, подобным способом обходится любая защита, если есть номер карты — и не спасут никакие 3D Secure, SecureCode и прочие SMS-подтверждения
habrahabr.ru/blogs/eCommerce/109361/#comment_3472141
а чем сбер виноват? люди сами пишут номер карты вместе с именем. а амазон принимает
Более того, считаю, что показ имени при переводах с карты на карту облегчает процесс проверки введённых данных, повышая удобство работы пользователя.
О чём тоже было сказано:
habrahabr.ru/blogs/eCommerce/109361/#comment_3472485
А так — удобство — ввёл цифирь (не только в интернете! Может быть пользователь стоит на морозе перед банкоматом с бумажкой в руках и пытается отправить деньги своему далёкому родственнику на карту) — убедился что «тому» — по имени, а не долго и нудно сверяя поразрядно номер карты — подтвердил.
Целью статьи было показать уязвимость перед такими транзакциями, где не проверяется CVV2/CVC2 и не участвуют дополнительные защитные механизмы.
И лишний раз привлечь внимание к проблеме конфиденциальности таких данных. Сбербанк просто наиболее популярен среди тех, кто публикует номера карт для приёма платежей подобным образом. Все эти данные в руках мошенников, даже если и не приведут к списанию средств, дают простор для социальной инженерии и прочего мошенничества.
Полностью солидарен в части, что многим неизвестно о механизмах проводки платежей по карте.
Вообще, защиту вида подтверждения транзакции по SMS давно можно уже было реализовать.
На примере интернет-мошенников:
Злоумышленники узнали номер, имя, фамилию, CVC2, год и месяц — короче все мои данные. Они пытаются произвести оплату. Тут, мне приходит SMS, где необходимо тупо подтвердить транзакцию ответом. Ответ есть — транзакция прошла. Или я что-то упустил?
На примере интернет-мошенников:
Злоумышленники узнали номер, имя, фамилию, CVC2, год и месяц — короче все мои данные. Они пытаются произвести оплату. Тут, мне приходит SMS, где необходимо тупо подтвердить транзакцию ответом. Ответ есть — транзакция прошла. Или я что-то упустил?
Ага. И сразу найдутся умельцы, которые в детали платежа будут писать «Ваша карта будет заблокирована, чтобы избежать блокировки — ответьте на данное сообщение» :( И часть юзеров, испугавшись и не читая остальной части сообщения, ответят :)
Вот, вот, я же говорил, что я что-то упустил :)
Вот это уже их проблемы, потому что часть юзеров и в оффлайне позволит себя тысячу раз облапошить — предлагаете на них равняться?
А нормальным людям нужен нормальный механизм.
А нормальным людям нужен нормальный механизм.
Не забывайте, что юзабилити — величина обратно пропорциональная защищенности. Чем круче защита — тем сложнее пользоваться системой. С смс сходу ситуации — нет денег на сотовом, а мы на отдыхе, где нет ни одного терминала оплаты, а на сотовом денег ноль, а надо что-то срочно оплатить. Потеряли телефон и пока не восстановим симку будем бриться с возможностью оплатить?
а у вас входящие смс платные?
Извините, коммент не туда отправил.
Я не забываю, но это деньги. Предоставьте мне выбрать пропорции юзабилити и защищенности.
А насчет ваших аргументов:
— входящие смс как правило бесплатны
— потерял кошелек — остался вообще без денег
а главное что вы предлагаете? вместо этого лучше пусть моими деньгами пользуется любой кому не лень?
или вы намекаете, что при существующей ситуации все круче: даже если ты на отдыхе, потерял телефон, кошелек, голову и совесть — остается вариант заплатить с чужой карточки :)
Тогда согласен, все круто
Я не забываю, но это деньги. Предоставьте мне выбрать пропорции юзабилити и защищенности.
А насчет ваших аргументов:
— входящие смс как правило бесплатны
— потерял кошелек — остался вообще без денег
а главное что вы предлагаете? вместо этого лучше пусть моими деньгами пользуется любой кому не лень?
или вы намекаете, что при существующей ситуации все круче: даже если ты на отдыхе, потерял телефон, кошелек, голову и совесть — остается вариант заплатить с чужой карточки :)
Тогда согласен, все круто
В посте, на который я ответил, было написано следующее:
>Тут, мне приходит SMS, где необходимо тупо подтвердить транзакцию ответом. Ответ есть — транзакция прошла.
Т.е. в принципе разумная система — забугорные инет-магазины ни сном ни духом про нашу систему защиты как-бы не знают, а банк про каждую транзакцию спрашивает у нас, а мы подтверждаем ее также через смс, а не вводим на сайте. В данном случае речь не про 3D Secure, где код надо на сайте вводить. С предложенной системой сразу вылезают те проблемы, что я перечислил, плюс блокировка денег на сайтах идет в real-time, т.е. сайт выдаст тайм-аут пока вы будете смс отправлять (не совсем представляю как отклонять блокировку после ее совершения), плюс оплата такой картой будет очень оригинально выглядеть в офф-лайновом магазине.
>Предоставьте мне выбрать пропорции юзабилити и защищенности.
Да и я как-бы про то же говорю. О безопасности пусть у банков голова болит, мы им за это бабки платим, а мы уже выберем то, что нам удобнее.
>или вы намекаете, что при существующей ситуации все круче
Проблем в том, что существующая, годами отлаженная система, даже в нынешнем ее виде работает в нашей стране через одно место :( Ее бы сначала до ума довести, а потом уже можно и защиту дополнительную накрутить.
>Тут, мне приходит SMS, где необходимо тупо подтвердить транзакцию ответом. Ответ есть — транзакция прошла.
Т.е. в принципе разумная система — забугорные инет-магазины ни сном ни духом про нашу систему защиты как-бы не знают, а банк про каждую транзакцию спрашивает у нас, а мы подтверждаем ее также через смс, а не вводим на сайте. В данном случае речь не про 3D Secure, где код надо на сайте вводить. С предложенной системой сразу вылезают те проблемы, что я перечислил, плюс блокировка денег на сайтах идет в real-time, т.е. сайт выдаст тайм-аут пока вы будете смс отправлять (не совсем представляю как отклонять блокировку после ее совершения), плюс оплата такой картой будет очень оригинально выглядеть в офф-лайновом магазине.
>Предоставьте мне выбрать пропорции юзабилити и защищенности.
Да и я как-бы про то же говорю. О безопасности пусть у банков голова болит, мы им за это бабки платим, а мы уже выберем то, что нам удобнее.
>или вы намекаете, что при существующей ситуации все круче
Проблем в том, что существующая, годами отлаженная система, даже в нынешнем ее виде работает в нашей стране через одно место :( Ее бы сначала до ума довести, а потом уже можно и защиту дополнительную накрутить.
3D Secure может быть реализован любым способом.
В том числе и отправкой кода через SMS например.
В том числе и отправкой кода через SMS например.
Не знаю одно ли это и то же, но у моей карочки Visa есть система Verified by Visa, и работает она по описанию ровно так, как вы описываете 3D Visa. В процессе транзакции происходит перенаправление на домен банка, и там нужно ввести свой пароль. Еще интересная деталь это системы, что банк тоже сообщает вам свой «пароль» — ключевое слово, которое вы ввели при регистрации в системе Verified by Visa. Таким образом вы можете проверить, что находитесь действительно на странице своего банка и спокойно вводить свой пароль.
Еще пользуюясь случаем хочу задать вопрос. Ситуация — прокат автомобиля в Северной Америке (хотя, думаю, что вопрос распространяется и на многие другие ситуации с бронированием чего-либо). При оплате проката, компания часто блокирует на карте бОльшую сумму, чем стоит сам прокат. Например, прокат стоит 30 в сутки, но на карте блокируется при этом 150. Почему при этом любой местный (Канадский или Американский) банк возвращает излишек практически на следующий день после возврата автомобиля, а российский — не раньше, чем через месяц? Один раз был вынужден оплачивать тут прокат российской карточкой (Юникредит) — ждал возврата месяц. Аналогичная ситуация и с карточками Сбербанка — знаю по рассказам мамы, которая бронировала где-то гостиницу, потом отказалась, и опять же ждала месяц или даже больше. Почему такая разница в сроках ожидания возврата непроведенной транзакции?
Еще пользуюясь случаем хочу задать вопрос. Ситуация — прокат автомобиля в Северной Америке (хотя, думаю, что вопрос распространяется и на многие другие ситуации с бронированием чего-либо). При оплате проката, компания часто блокирует на карте бОльшую сумму, чем стоит сам прокат. Например, прокат стоит 30 в сутки, но на карте блокируется при этом 150. Почему при этом любой местный (Канадский или Американский) банк возвращает излишек практически на следующий день после возврата автомобиля, а российский — не раньше, чем через месяц? Один раз был вынужден оплачивать тут прокат российской карточкой (Юникредит) — ждал возврата месяц. Аналогичная ситуация и с карточками Сбербанка — знаю по рассказам мамы, которая бронировала где-то гостиницу, потом отказалась, и опять же ждала месяц или даже больше. Почему такая разница в сроках ожидания возврата непроведенной транзакции?
Ну зачем же сразу месяц — можно сходить в банк, написать заявление и через 1-3 недели Вам вернут бабло. Чертовски удобно, не правда ли? :)
Сам с такой же фигней постоянно сталкиваюсь. Покупаю в каком-нибудь инет-магазине импортном, при заказе блокируется (авторизуется) сумма, а при отправке заказа выясняется, что каких-то позиций нет в наличии. Буржуи пишут — мы авторизацию отменили, но бабки снять не можем с Вашей карты. Захожу в клиент-банк и вижу, что авторизация висит себе спокойно, а бабла на счете четко на заказ с небольшим запасом. Приходится идти докидывать денег и писать заявление на снятие блокировки. Наши банки они блин такие банки… Любят у нас к правилам Визы или Мастеркарда, какие-нибудь свои правила еще до кучи навесить, чтобы нам жизнь медом не казалась.
Сам с такой же фигней постоянно сталкиваюсь. Покупаю в каком-нибудь инет-магазине импортном, при заказе блокируется (авторизуется) сумма, а при отправке заказа выясняется, что каких-то позиций нет в наличии. Буржуи пишут — мы авторизацию отменили, но бабки снять не можем с Вашей карты. Захожу в клиент-банк и вижу, что авторизация висит себе спокойно, а бабла на счете четко на заказ с небольшим запасом. Приходится идти докидывать денег и писать заявление на снятие блокировки. Наши банки они блин такие банки… Любят у нас к правилам Визы или Мастеркарда, какие-нибудь свои правила еще до кучи навесить, чтобы нам жизнь медом не казалась.
Это потому, что система ориентирована на кредитки, а не на дебетные карты. Там-то пофигу сколько блокировка висит. Что касается «запаса» — как-то выяснял в банке. «Чужие» терминалы (не родные банковские), как правило блокируют бабло с запасом (у себя заметил примерно 3 прицента), в конце месяца блокировка снимается и сумма типо «возвращается». Почему так уже не помню. Но это тоже особенность системы, а не банка.
Когда торговая точка запрашивает авторизацию, то она говорит банку: зарезервируйте для меня такую-то сумму на счету этого гражданина. Банк резервирует и обязан держать ее в резерве, потому что он должен будет оплатить эту сумму торговой точке, если придет запрос на списание. Разблокируется сумма только если истекает срок авторизации (обычно 30 дней), либо если торговая точка пришлет запрос на отмену авторизации. Почему зарубежные конторы не посылают такой запрос по картам российских банков — это вопрос к ним, а не к банкам.
Вряд ли торговая точка получает от банка-эквайра информацию о стране банка-эмитента и принимает на основании этого какое-то решение. Как в них для этого смысл? Могу теоретически поверить, что банк-эквайр не пропускает запрос о снятии блокировки от мерчанта к банку-эмитенту. Но как-то намного более вероятной кажется версия, что либо Российские банки не поддерживают соответствующие команды. Либо поддерживают, но забивают на них.
Злоумышленники узнали номер, имя, фамилию, CVC2, год и месяц — короче все мои данныеСкорее всего все данные узнают просто украв карточку, а значит и мобильник стянуть могут :)
Давайте по порядку:
1. AVS сверяет только цифры адреса и зип-кода (индекса). Т.е. для него ул. Ленина 39 и Проспект буденого 39 — одно и то же. Вся буквенная информация игнорируется.
2. Имя держателя карты можно вписать вообще что угодно, хоть микки маус и в 99% случаев транзакция пройдет.
3. 3д секур не панацея, ибо есть куча мерчантов, которые его просто игнорируют (да, да, с вашей 3д секур карты спишут деньги без вопросов о 3д кодах)
4. Выкладывать номер своей карты в интернет — верх идиотизма в принципе.
1. AVS сверяет только цифры адреса и зип-кода (индекса). Т.е. для него ул. Ленина 39 и Проспект буденого 39 — одно и то же. Вся буквенная информация игнорируется.
2. Имя держателя карты можно вписать вообще что угодно, хоть микки маус и в 99% случаев транзакция пройдет.
3. 3д секур не панацея, ибо есть куча мерчантов, которые его просто игнорируют (да, да, с вашей 3д секур карты спишут деньги без вопросов о 3д кодах)
4. Выкладывать номер своей карты в интернет — верх идиотизма в принципе.
собственно, о п.3 и п.4 и писалась та статья
habrahabr.ru/blogs/eCommerce/109361/
которую здесь поминает топикстартер.
проблема в первую очередь людей, а не банка. если уж и банка — то всей этой карточной системы.
habrahabr.ru/blogs/eCommerce/109361/
которую здесь поминает топикстартер.
проблема в первую очередь людей, а не банка. если уж и банка — то всей этой карточной системы.
Успешно оспаривал транзакции с MC Secure code и ATM операции с вводим пина. Так что оспаривается все.
Оспаривается все, только в России с большим трудом. На Украине еще сложнее.
Культура еще не та, к сожалению. Уважения к держателям карт/клиентам банкам должного не проявляют.
На случай, если у кого опротестовать не получилось, как действовать.
Практическое пособие, писали специалисты нашей компании www.payonlinesystem.ru/analyst/81/
Берегите номер карты.
Культура еще не та, к сожалению. Уважения к держателям карт/клиентам банкам должного не проявляют.
На случай, если у кого опротестовать не получилось, как действовать.
Практическое пособие, писали специалисты нашей компании www.payonlinesystem.ru/analyst/81/
Берегите номер карты.
Уважения к держателям карт/клиентам банкам должного не проявляют.Не исключаю, что одна из причин этого, что подавляющее большинство карт — зарплатные, имхо, людям навязанные сверху (руководством организации) фактически без права выбора получать нал, получать на личный счёт/карту в любом банке или на предлагаемую.
Американские магазины не проверяют имени на карте и сторонние компании не делают запросы в бюро кредитных историй. Для такого запроса требуется разрешение или как минимум обязательно уведомление, а где вы видели, что при биллинге карты такая информация спрашивается? Да и каждый запрос в бюро стоит хороших денег, что не покроет доход с операции. С Россией все просто — или процессинг магазина разрешает транзакции российских карточек или нет. Если в принципе разрешает — то никакой проверки адреса не последует. Проверяют номер карты, дату окончания и свв (свс) код, некоторые процессинги могут и не спрашивать код безопасности (например, Амазон), но тогда успешность транзакции зависит от банка эмитента карты. ВТБ24 отклоняет транзакции по своим картам Classic и Gold без свв кода.
Слишком много воды, и автор (намеренно?) умолчал очень важный момент:
Главный компонент уязвимости из того топика — это то, что для оплаты товара на амазоне нужно знать номер карты, срок действия и имя владельца, а вот код CVV\CVC знать НЕ НУЖНО. И это и есть ГЛАВНАЯ проблема сбербанка — платежи по картам в интернете без участия этого кода РАЗРЕШЕНЫ. Многие другие банки это запрещают, и, на мой взгляд, правильно делают.
Возможность оплаты без CVV\CVC кода — потенциальная дыра в безопасности, так как узнать номер карты, срок действия и имя владельца можно без больших трудозатрат, как показал предыдущий топик, а вот узнать CVV\CVC код на порядок сложнее. Так что нечего отмазывать родной банк…
Главный компонент уязвимости из того топика — это то, что для оплаты товара на амазоне нужно знать номер карты, срок действия и имя владельца, а вот код CVV\CVC знать НЕ НУЖНО. И это и есть ГЛАВНАЯ проблема сбербанка — платежи по картам в интернете без участия этого кода РАЗРЕШЕНЫ. Многие другие банки это запрещают, и, на мой взгляд, правильно делают.
Возможность оплаты без CVV\CVC кода — потенциальная дыра в безопасности, так как узнать номер карты, срок действия и имя владельца можно без больших трудозатрат, как показал предыдущий топик, а вот узнать CVV\CVC код на порядок сложнее. Так что нечего отмазывать родной банк…
>Возможность оплаты без CVV\CVC кода — потенциальная дыра в безопасности
Закроют они это дело и сразу пойдут матюки от тех, кто специально взял сбербанковскую карту для оплаты через PayPal, который CVV не передает. В нормальных банках для этого есть специальные карты, может конечно и сбер уже сподобился такие сделать — я давно не смотрел их список сервисов.
Закроют они это дело и сразу пойдут матюки от тех, кто специально взял сбербанковскую карту для оплаты через PayPal, который CVV не передает. В нормальных банках для этого есть специальные карты, может конечно и сбер уже сподобился такие сделать — я давно не смотрел их список сервисов.
Кстати так делает не любой амазон.
Французский амазон запрашивает CVV/CVC код, так как во Франции запрещены интернет-транзакции без него.
Французский амазон запрашивает CVV/CVC код, так как во Франции запрещены интернет-транзакции без него.
Так, и куда слился топикстартер? Ждем ответов на кинутые выше предъявы.
спасибо за ликбез, хотя, безусловно, остаются вопросы. буду мониторить ветки обсуждений выше.
кросспостов-то!
Под кат специально не убираю, чтобы проиндексировалось и люди могли найти верную информацию.
Хабр ничего не знает о картах,
Ответ по поводу сегодняшнего скандала
…
community.livejournal.com/sber_bank/50566.html
winnorokomo.livejournal.com/34271.html?mode=reply
twitter.com/MikeBelyaev
Под кат специально не убираю, чтобы проиндексировалось и люди могли найти верную информацию.
Хабр ничего не знает о картах,
Ответ по поводу сегодняшнего скандала
…
community.livejournal.com/sber_bank/50566.html
winnorokomo.livejournal.com/34271.html?mode=reply
twitter.com/MikeBelyaev
Пользуясь случаем хочу передать привет Сбербанку России, Райффайзен Банку (Россия и Украина) и Сити Банку. К сожалению, много было говна в моей «банковской» жизни, но эти банки заслуживают как благодарности, так и доброго слова. Ну, или мне просто очень везло )
1. номер карты не секретная информация. карта не хранится исключительно в кармане владельца, она выдается в руки кассиров, «светится» под камерами в офф-магазинах. поэтому никак нельзя сказать, что клиент сам виноват сказав кому-то номер карты.
2. почему бы не сделать все просто — не требовать введение ПИНа для проведения операции.
3. это личные дела Сбера с магазинами которые берут или не берут на себя риски по транзакциям. просто не надо допускать вывода средств по данным, которые не являются секретными!
2. почему бы не сделать все просто — не требовать введение ПИНа для проведения операции.
3. это личные дела Сбера с магазинами которые берут или не берут на себя риски по транзакциям. просто не надо допускать вывода средств по данным, которые не являются секретными!
А меня вот удивляет, почему никто еще про украинский Приветбанк не написал… Вот этому банку вообще сложно хоть что-то доказать)
Зарегистрируйтесь на Хабре, чтобы оставить комментарий
Что нужно знать про оплату банковскими картами через интернет