3-D Secure es un protocolo utilizado como una capa adicional de seguridad para tarjetas de crédito y débito en línea para la autenticación de usuario de dos factores .
La tecnología fue desarrollada para el sistema de pagos de Visa con el fin de mejorar la seguridad de los pagos en línea dentro del servicio Verified by Visa (VbV). Los servicios basados en este protocolo han sido aceptados por los sistemas de pago Mastercard bajo el nombre Mastercard SecureCode (MSC) y JCB International como J/Secure , AmEx como SafeKey , Mir ( NSPK ) como Mir Accept. American Express agregó 3-D Secure el 8 de noviembre de 2010 como American Express Safe Key en mercados selectos y continúa implementándolo en mercados adicionales. El sistema de pago Mir autorizó inicialmente la implementación de la primera versión del protocolo de VISA. En 2016, Mir implementó de forma independiente soporte para 3D-Secure 2.0 y comenzó a brindarlo con el nombre MirAccept [1] .
3-D Secure agrega otro paso de autenticación para los pagos en línea, lo que permite a los comerciantes y bancos verificar adicionalmente que el titular de la tarjeta realiza el pago para protegerse contra transacciones fraudulentas [2] .
El código 3-D Secure no debe confundirse con el código CVV2 o CVC2 que está impreso en el reverso de la tarjeta.
3-D Secure no es una protección absoluta del dinero en la tarjeta durante las operaciones CNP ( tarjeta no presente ), por ejemplo, un código de un solo uso puede ser interceptado por virus informáticos. Además, no todos los bancos admiten la tecnología 3-D Secure, por lo que muchos bienes y servicios se pueden pagar con tarjeta sin ningún código de confirmación, lo que limita la eficacia de esta tecnología en el período de transición [3] .
En julio de 2016, 3D-Secure contaba con el respaldo de bancos de 195 países [4] .
Para un tarjetahabiente de un banco que soporta 3-D Secure, durante el proceso de pago en línea, se agrega una solicitud adicional de confirmación del uso de la tarjeta a la información requerida anteriormente, que, por regla general, se muestra redirigiendo al usuario a una nueva página ubicada en la dirección del banco emisor de la tarjeta o mostrada en un iframe [5] [6] . Esta página de autorización la muestra el componente ACS (servidor de control de acceso), que se encuentra en el costado del banco emisor de la tarjeta.
El titular debe ingresar el código de confirmación proporcionado por el banco para cada transacción, generalmente en un mensaje SMS enviado al número de teléfono celular vinculado a la tarjeta [7] [4] . También son posibles otras opciones para obtener un código de confirmación de pago, como tarjetas con microprocesadores a partir de una tarjeta de código de un solo uso; desde un dispositivo especial que genera códigos pseudoaleatorios actualizados [7] [4] . Varios bancos utilizan el sistema habitual de contraseñas permanentes, es decir, el usuario establece la contraseña una vez (durante el registro) y la ingresa al realizar cada pago por Internet. Este método es menos confiable que un código de confirmación único. El formato del código 3-D Secure puede variar según el banco emisor. Por lo general, son de 4 a 10 letras y números. Las soluciones con una contraseña de un solo uso constan de 6 a 8 dígitos [8] .
Después de verificar la exactitud del código ingresado, el ACS (servidor de control de acceso) verifica la exactitud del código de seguridad ingresado [9] [4] , redirige al usuario a la página del servicio de pago o punto de venta desde el cual se realizó la redirección inicial. lugar y, al mismo tiempo, lo transfiere a través del sistema de pago a la confirmación bancaria al adquirente de que la transacción está (no) autorizada. Posteriormente, el banco adquirente realiza la operación, debitando/bloqueando fondos de la tarjeta del comprador o negándose a operar.
En versiones posteriores del protocolo 3-D Secure 2.0 y 3.0. [10] , se ha mejorado el procedimiento de verificación y no se solicita el código para todas las operaciones. Algunas transacciones se realizan sin intentar solicitarlo, la elección del modo de transacción se realiza sobre la base del propio control de riesgos del banco y/o de la empresa comercial y de servicios. Esto aumenta la conversión de clientes comerciantes, ya que algunas compras no se completan debido a dificultades de pago y la solicitud constante de un código secreto adicional aumenta inevitablemente la complejidad del proceso y la probabilidad de interrupción anticipada por parte del comprador.
El titular de la tarjeta debe tener en cuenta que 3-D Secure puede realizar pagos en Internet sin confirmación mediante un paso de autenticación adicional por SMS o usuario y contraseña, lo que crea problemas muy serios con la seguridad de los fondos en la tarjeta bancaria del cliente.
Si la tienda en línea no es compatible con la tecnología 3-D Secure (el sitio web de la tienda en línea no muestra los logotipos Verified by Visa y Mastercard SecureCode ), para realizar una compra con una tarjeta bancaria, deberá seleccionar una compra y realizar un pago introduciendo los datos de la tarjeta solicitados por la tienda online. En este caso, su pago no estará protegido por la tecnología [11] .
Por lo tanto, esto significa que el pago en dicha tienda en línea se realizará sin confirmación por SMS o inicio de sesión y contraseña, pero solo mediante los datos de la tarjeta ingresados que se indican en la propia tarjeta (tipo, número y plazo de la tarjeta, nombre del titular y tres -dígito CVV2 , que está impreso en el mapa al dorso).
Por lo tanto, es importante que un cliente bancario comprenda que si los pagos a través de Internet están permitidos en su tarjeta, e incluso si la protección 3-D Secure adicional está habilitada en la tarjeta , entonces, a pesar de esto, absolutamente cualquier persona que tuvo la oportunidad de ver y recordar los datos que están impresos en la propia tarjeta bancaria, puede realizar pagos con esta tarjeta en tiendas online que no soporten 3-D Secure, y estos pagos se realizarán sin confirmación por SMS ni usuario y contraseña. En varios bancos, puede administrar por separado los límites de las transacciones realizadas sin 3-D Secure. Otra forma puede ser administrar los límites totales utilizando aplicaciones de banco-cliente, en particular en los teléfonos.
Cabe señalar que realizar una operación sin un paso de autenticación adicional (si se admite 3-D Secure ) indica que dicha operación está sujeta a " cambio de responsabilidad ", es decir, el banco emisor puede disputar las operaciones y devolver el dinero al tarjetahabiente (si se aplica en tiempo y forma).
El concepto básico del protocolo es agregar la autenticación en línea al proceso de autorización financiera. Esta autenticación se basa en el principio de tres dominios (de ahí el 3-D en el nombre) :
En las transacciones ordinarias (no protegidas por 3-D Secure) , el " comerciante " es responsable de las operaciones con tarjetas robadas : una empresa comercial y de servicios en cuyo sitio web se realizó la compra de un producto / servicio con una tarjeta robada, siempre que no es compatible con esta tecnología.
En el caso de utilizar 3-D Secure, se produce el denominado "responsibility shift" ( desplazamiento de la responsabilidad ), cuando la responsabilidad se transfiere al banco emisor que emitió la tarjeta, o al propio cliente.
| tarjetas bancarias | |
|---|---|
| tipos de tarjetas | |
| Sistemas de pago globales | |
| Sistemas de pago locales, incluidos los cerrados |
|
| Principales tarjetas de crédito | |
| Principales tarjetas de débito | |
| Emisión de tarjetas bancarias | |
| Aceptación de tarjetas bancarias | |
| Conceptos relacionados | |
| La seguridad | |