Элементы данных карт и сенситивные данные аутентификации:

Как убедиться о соответствии требованиям PCI DSS?

Банк ежегодно информирует торгово-сервисные предприятия о выполняемых действиях, необходимых для обеспечения соответствия стандартам PCI DSS. Данные требования приведены в таблице.

Торгово-сервисные предприятия делятся на четыре уровня в зависимости от количества ежегодно обрабатываемых транзакций по картам одного бренда (т.е. MC, VISA, Amex и др.). Торгово-сервисные предприятия с 1-го по 3-ий уровень должны проинформировать о статусе своего соответствия банк, обеспечивающий прием платежных карт. Торгово-сервисным предприятиям 4-го уровня настоятельно рекомендуется заполнить анкету самооценки (SAQ) и отправить её банку, обеспечивающему прием платежных карт.

Важно! Торгово-сервисные предприятия должны проводить:

• Аудит безопасности, выполняемый сертифицированным аудитором, который выступает в качестве квалифицированного эксперта безопасности (QSA) от поставщиков услуг, приведенных на официальном сайте PCI DSS.
• Сканирование сети, выполняемое квалифицированным поставщиком решений сканирования, который выступает в качестве сертифицированного поставщика услуг сканирования (ASV) или квалифицированного эксперта безопасности (QSA). Сертифицированный поставщик услуг сканирования (ASV) может выполнять сканирование для предприятий электронной торговли и предприятий с физическими местами торговли, но не имеет право проводить ежегодные аудиты.
• Внутренний аудит, в рамках которого необходимо ответить на вопросы анкеты самооценки (SAQ). Содержание анкеты зависит от технического решения.

Требования и цели PCI DSS

12 требований и целей, приведенные в таблице ниже, помогут вам понять, какие действия должны проводиться для обеспечения соответствия правилам PCI DSS.

Для получения более подробной информации посетите https://www.pcisecuritystandards.org/

Наиболее частые причины Chargeback:

• держатель карты не совершал соответствующую сделку (нередко является признаком мошенничества);
• отменяется регулярный платеж;
• товар не соответствует описанию;
• товар имеет дефект или брак;
• продавец не отвечает на запросы по купонам.

Процесс Chargeback может быть инициирован и по другим причинам, например, в случае неполучения товаров/услуг.

Как избежать Chargeback:

• Чтобы уберечь себя от претензий, связанных с недоставкой товара, рекомендуем использовать услуги компаний, предоставляющих подтверждение доставки.
• Чтобы избежать претензий, связанных с поломкой/повреждением товара, в случае отправки хрупких предметов советуем оформлять страхование перевозок. Обязательно установите четкие сроки, в которые подобные претензии должны быть рассмотрены.
• Если вы получили претензию в связи с повреждением товара, возникшим не во время перевозки, у вас есть два способа решения проблемы: если на товар распространяется гарантия, попросите клиента связаться напрямую с производителем или попросите клиента отправить товар назад вам. Обеспечьте, чтобы в вашей политике возврата были четко оговорены сроки возврата и порядок авторизации возвращенных товаров.
• Если клиент утверждает, что он не заказывал указанный товар, вы должны предъявить документацию, подтверждающую заказ клиента.
• Чтобы иметь надежную доказательную базу, все переговоры с клиентом ведите в письменном виде по электронной почте.
• Все правила и условия должны быть четко оговорены на сайте, предоставляющем соответствующие услуги. Информация, которая должна быть предоставлена клиенту перед заключением договора, прописана в нормативных актах, регулирующих защиту прав потребителей. Данные нормативные акты обязательны для любого лица, продающего товары или оказывающего услуги дистанционным способом.
• Информацию необходимо подавать в простом и понятном виде, и она должна соответствовать используемым дистанционным средствам связи. Предоставляемая информация должна содержать четкие сведения о соответствующих товарах или услугах, их цене (включая НДС и другие налоги), стоимости доставки, а также информацию о правах отказа клиента. Необходимо указать также полную контактную информацию вашего предприятия.
• Если заказанные клиентом товары или услуги могут быть недоступны, вы должны информировать клиента о том, готовы ли вы поставить ему вместо заказанных товаров или услуги другие товары или услуги равноценного качества и стоимости.

Что означает "авторизация":

• Номер счета действителен.
• Карта не была заявлена как утерянная или украденная (впрочем, карта может быть утеряна либо украдена или с ней могут совершаться несанкционированные действия, о которых держатель карты не знает, т.е. мошенники могли незаконным способом завладеть данными карты).
• На карте доступна необходимая для оплаты покупки сумма.

Что не означает "авторизация":

• Авторизация не означает, что лицо, вводящее или называющее номер карты, является законным держателем карты. Все ещё существует риск, что лицо, вводящее или называющее номер карты, либо украло карту, либо завладело ею каким-то иным незаконным способом.
• Существует также риск того, что покупатель использует номер карты, полученный им несанкционированным способом, а сама карта может и не быть в его распоряжении.

Несмотря на важность авторизации, она не может служить 100% гарантией от риска мошенничества или претензий. Эти риски остаются актуальными и в том случае, если авторизация успешно пройдена.

Часто мишенью мошенников становятся нижеперечисленные товары, так как они обладают большой ценностью и их можно легко перепродать:

• Электроника
• Бытовая техника
• Драгоценности
• Компьютерная техника
• Мебель
• Товары, которые можно быстро и легко реализовать за деньги

Если вы занимаетесь продажей товаров из данного списка, призываем вас быть очень внимательными перед передачей/отправкой заказа. В частности, рекомендуем тщательно проверить, является ли покупатель истинным держателем карты.

Ниже приведены примеры ситуаций, когда нужно быть особенно осторожными, так как часто именно совокупность нескольких факторов может свидетельствовать о возможных мошеннических действиях.

1. Покупатель совершает покупку впервые - мошенники для совершения преступлений всегда выбирают новые магазины.
2. Необычно крупные заказы - так как краденые кредитные карты и номера счетов имеют ограниченный срок использования, преступники стремятся купить сразу как можно больше товаров.
3. Разные способы заказа одного и того же товара - несколько экземпляров одного товара позволяют преступникам увеличить свою прибыль.
4. Срочная или экспресс-доставка - преступники хотят как можно быстрее получить приобретенные мошенническим путем товары, чтобы продать их дальше, поэтому более высокая стоимость доставки их не пугает.
5. Доставка за пределы страны, в которой работает интернет-магазин, - иногда полученные мошенническим путем товары доставляются преступникам за пределы страны проживания.
6. Несоответствие информации в заказе - например, адрес счета не совпадает с адресом доставки, телефонный код отличается от кодов близлежащих почтовых отделений, а также подозрительные электронные адреса или необычное время совершения покупки.
7. Несколько операций по одной карте за короткий промежуток времени - это может быть попыткой опустошить карту перед тем, как будет закрыт привязанный к ней счет.
8. Отправка на один и тот же адрес заказов, совершенных по разным картам - это может свидетельствовать о генерировании номеров счетов с помощью специального программного обеспечения либо о целой партии краденых карт.
9. Несколько сделок, совершенных одной или похожей картой с одним и тем же адресом счета, но с разными адресами доставки - это может указывать на деятельность организованной преступной группы (в противоположность действиям отдельных лиц).
10. С одного IP-адреса совершаются несколько сделок с разными картами - использование двух и более карт может свидетельствовать о мошеннической схеме.
11. Заказы с интернет-адресов, использующих услуги бесплатной электронной почты - такого рода электронные адреса не содержат никаких счетов, не фиксируют контрольные следы и не осуществляют проверок того, что счет был открыт законным держателем карты.

Чтобы снизить риск мошенничества и рекламаций при совершении онлайн-покупок, продавцам следует соблюдать следующие меры предосторожности:

• требовать указание названия банка держателя карты - преступники, получившие данные карты незаконным путем, такой информацией, как правило, не владеют. Если покупатель замешкался или медлит с указанием названия своего банка, следует проявить осторожность;
• попросить покупателя прислать по факсу копию своего водительского удостоверения;
• риск неполучения товара возрастает, если заказ отправляется на абонентский ящик;
• после доставки товара получить от держателя карты подписанную им квитанцию о получении товара;
• в случае заказа большого количества товара связаться по телефону с держателем карты для подтверждения заказа. Или попросить держателя карты повторить все детали покупки устно. Нередко, если заказ является мошенническим, покупатель не в состоянии подтвердить эти данные, так как заказываются все товары подряд;
• соблюдать особую осторожность в случаях, когда одна покупка оплачивается сразу несколькими картами;
• не продолжать попытки авторизоваться после получения отказа;
• соблюдать особую осторожность при получении заказов из-за рубежа - рекомендуется не осуществлять отправку крупных заказов до проверки подлинности заказа.

Использование услуги аутентификации 3D Secure позволяет продавцу защитить себя от рекламаций в ситуациях, когда основанием для подачи рекламации является неучастие клиента в сделке (т.е. ответственность за риск мошенничества переносится).