Банковская карта: безопасность и защита данных¶

Банковская карта — платёжный инструмент, эмитируемый кредитной организацией и предназначенный для безналичных расчётов, снятия наличных и идентификации держателя в платёжной системе. Основные реквизиты карты (номер, срок действия, CVV/CVC-код) являются конфиденциальной информацией, раскрытие которой третьим лицам может привести к несанкционированным списаниям средств.

¶Структура реквизитов карты

Номер банковской карты (ПАН — Primary Account Number) формируется по стандарту ISO/IEC 7812 и состоит из 16 цифр (в некоторых платёжных системах — от 12 до 19). Первые 6–8 цифр составляют BIN (Bank Identification Number) и идентифицируют эмитента, остальные — порядковый номер счётного ключа. Последняя цифра является контрольной и вычисляется по алгоритму Луна.

Помимо номера, к критически важным реквизитам относятся:

• Срок действия (месяц и год) — наносится на лицевую сторону;
• CVV2/CVC2 — трёхзначный код на обратной стороне;
• Имя держателя — транслитерация латиницей.

¶Законодательство о защите данных

В Российской Федерации обращение платёжных реквизитов регулируется Федеральным законом «О национальной платёжной системе» (№ 161-ФЗ от 27.06.2011), а персональные данные — Федеральным законом «О персональных данных» (№ 152-ФЗ от 27.07.2006). Раскрытие номера карты третьим лицам без согласия держателя квалифицируется как хищение средств при последующем их использовании (ст. 159.2 УК РФ — мошенничество с использованием электронных платёжных средств).

¶Почему «узнать номер карты через 900» невозможно

Короткий номер 900 — это обозначение сервисного номера Службы поддержки Сбербанка России. Операторы контакт-центра, как и сотрудники любой кредитной организации, не имеют технической возможности и законного права сообщать клиентам или третьим лицам полный номер карты. Номер хранится в защищённых базах данных банка и не выводится в интерфейсах, доступных оператору при обычном обращении.

Более того, сам клиент при обращении в поддержку обязан назвать оператору последние 4 цифры карты или идентифицировать себя иным способом — банк никогда не запрашивает полный номер, срок действия и CVV-код в полном объёме.

¶Социальная инженерия

Заявления вида «узнать номер карты через 900» или «узнать номер карты по номеру телефона» характерны для мошеннических схем, построенных на социальной инженерии. Типовые приёмы:

1. Фишинг — рассылка SMS или писем от имени банка со ссылками на поддельные сайты, где просят ввести реквизиты.
2. Звонок «от службы безопасности» — злоумышленник представляется сотрудником банка и запрашивает полные данные карты.
3. Поддельные «сервисы проверки» — сайты, обещающие определить номер карты по номеру телефона или ФИО.

Во всех случаях цель — получить реквизиты для списания средств или оформления кредитов на имя жертвы.

¶Как реально узнать реквизиты своей карты

Если карта принадлежит самому пользователю, номер и другие данные доступны законными способами:

• Мобильное приложение банка — в разделе с информацией о карте (номер может быть показан частично скрытым, с возможностью раскрыть);
• Интернет-банк — раздел управления картами;
• Текстовое сообщение с номером карты, отправленное банком при выпуске;
• Физическая карта — номер нанесён на лицевую сторону;
• Уведомления о транзакциях — последние 4 цифры карты;
• Обращение в отделение с паспортом — сотрудник подтвердит реквизиты после идентификации.

¶Меры защиты

Эксперты по информационной безопасности рекомендуют:

• не сообщать полный номер карты, срок действия и CVV-код по телефону, даже если звонящий представляется сотрудником банка;
• не переходить по ссылкам из SMS о «блокировке карты» — звонить в банк по официальному номеру, указанному на обороте карты;
• не фотографировать карту и не передавать изображения через мессенджеры;
• подключить уведомления обо всех операциях;
• при подозрении на утечку данных немедленно заблокировать карту через приложение или по телефону поддержки.

Банк никогда не запрашивает полные реквизиты карты по телефону — любое такое обращение является признаком мошенничества.

¶Интересные факты

• Контрольная цифра по алгоритму Луна позволяет мгновенно отсеивать случайно набранные неверные номера — примерно 9 из 10 случайных 16-значных последовательностей не являются валидными номерами карт.
• BIN-диапазоны платежных систем публикуются в открытом реестре, поэтому по первым 6–8 цифрам можно определить банк-эмитент, платёжную систему и тип карты.

Источники:

• Федеральный закон № 161-ФЗ «О национальной платёжной системе»
• Федеральный закон № 152-ФЗ «О персональных данных»
• Уголовный кодекс РФ, статья 159.2
• Стандарт ISO/IEC 7812
• Рекомендации Банка России по защите прав пользователей платёжных услуг