Безпека платежів: як працюють антифрод-системи та PCI DSS

Коли клієнт оплачує замовлення на сайті, платіж проходить через кілька систем: платіжну сторінку, шлюз, процесинг, банк-еквайр і банк, який випустив картку. На кожному етапі передаються дані, від коректної обробки яких залежить безпека всієї операції.

Для бізнесу захист онлайн-платежів – це не лише питання технічної надійності. Шахрайські операції можуть призводити до чарджбеків, втрати товару, додаткових витрат на розгляд спірних платежів і блокування окремих платіжних сценаріїв. Водночас занадто жорсткі перевірки можуть відхиляти звичайні покупки та знижувати конверсію.

Тому безпека платежів із використанням платіжної картки зазвичай будується одразу на кількох рівнях. Стандарт PCI DSS визначає, як компанія має захищати платіжну інфраструктуру та дані карток. Антифрод-система аналізує кожну конкретну транзакцію і допомагає виявити підозрілу поведінку до того, як платіж буде завершено.

Шахрайська операція може зовні майже не відрізнятися від звичайної покупки. Платник вводить коректні реквізити, проходить стандартні етапи оформлення замовлення, а платіж надходить на авторизацію. Проблема в тому, що картка або її дані можуть бути викраденими.

Якщо бізнес уже передав товар чи надав послугу, а справжній власник картки оскаржив списання, продавець може втратити і гроші, і товар. До цього додаються витрати на опрацювання чарджбеку, комісії та час команди підтримки.

Антифрод-система перевіряє онлайн-транзакції ще до їх завершення. Вона може враховувати:

• суму та частоту платежів;
• країну, IP-адресу й геолокацію;
• пристрій, браузер та операційну систему;
• BIN картки та країну її випуску;
• історію покупок користувача;
• кількість спроб оплати за короткий проміжок часу;
• збіг платіжних і контактних даних;
• наявність окремих параметрів у чорних або білих списках.

Завдання антифроду – не відхилити якомога більше операцій, а відокремити реальний ризик від нетипової, але законної поведінки. Наприклад, велика сума замовлення може бути підозрілою для одного магазину й цілком нормальною для іншого. Саме тому правила перевірки потрібно налаштовувати з урахуванням ніші, середнього чека, географії та звичних платіжних сценаріїв.

PCI DSS, або Payment Card Industry Data Security Standard, – це міжнародний стандарт, який містить технічні та організаційні вимоги до захисту платіжних даних.

Він поширюється на компанії, які зберігають, передають або обробляють дані платіжних карток, а також на організації, здатні впливати на безпеку середовища, де ці дані обробляються. До них належать продавці, банки, процесингові центри, еквайри, платіжні провайдери та інші постачальники послуг.

Фраза «PCI DSS антифрод стандарт» часто трапляється в пошуку, але технічно вона неточна. PCI DSS – це не антифрод-система й не інструмент аналізу окремих транзакцій. Стандарт визначає, як побудувати та підтримувати захищену платіжну інфраструктуру:

• хто може отримувати доступ до платіжних даних;
• як потрібно шифрувати інформацію;
• як налаштовувати мережі й системи;
• як відстежувати дії користувачів;
• як тестувати вразливості;
• що робити у разі інциденту.

Антифрод відповідає на запитання: «Чи схожа ця операція на шахрайську?». PCI DSS допомагає відповісти на інше: «Чи достатньо захищене середовище, у якому проходить платіж?».

PCI DSS містить 12 базових вимог. У версії 4.0.1 вони охоплюють не лише технічний захист, а й розподіл відповідальності, регулярну оцінку ризиків, документування процесів і постійний контроль платіжного середовища. Стандарт розроблено як базовий набір технічних та операційних заходів для захисту платіжних даних.

Окрема увага приділяється контролю доступу. Працівник не повинен бачити фінансову інформацію клієнтів лише тому, що має доступ до внутрішньої системи. Права мають надаватися відповідно до конкретних обов’язків, а кожна дія – фіксуватися в журналах.

Не менш важливе регулярне тестування. Навіть правильно налаштована система з часом може стати вразливою через нове програмне забезпечення, зміну платіжного потоку, інтеграцію стороннього сервісу або помилку в конфігурації.

PCI DSS та антифрод вирішують різні завдання, тому одне рішення не може повністю замінити інше.

Розглянемо простий приклад. Покупець оформлює дороге замовлення в інтернет-магазині за даними викраденої картки.

Відповідність PCI DSS допомагає захистити карткові дані під час передавання, обмежити доступ працівників до них і не допустити витоку з інфраструктури магазину або платіжного провайдера. Але реквізити, які ввів шахрай, можуть бути правильними.

Антифрод-система аналізує обставини операції: новий пристрій, нетипову країну, кілька невдалих спроб, невідповідність геолокації та BIN картки, незвичну суму. Залежно від рівня ризику система може пропустити платіж, відхилити його або ініціювати додаткову перевірку, наприклад 3D Secure.

У зворотній ситуації антифрод може якісно визначати підозрілі платежі, але він не захистить базу даних від неправильно налаштованого доступу або вразливого програмного забезпечення. Саме тому ці механізми мають працювати разом.

Перевірка починається в момент, коли користувач підтверджує оплату на сайті або в застосунку. Дані транзакції надходять до платіжної системи, а антифрод аналізує доступні параметри.

Процес можна умовно поділити на кілька етапів.

1. Збирання сигналів

Система отримує інформацію про суму, валюту, пристрій, IP-адресу, картку, користувача та попередні операції. Окремо перевіряється швидкість повторних спроб і зв’язки між різними транзакціями.

Наприклад, одна картка може використовуватися з кількох облікових записів або з різних країн протягом кількох хвилин. Кожна така ознака ще не доводить шахрайство, але їхня сукупність підвищує ризик.

2. Перевірка за правилами

Транзакція порівнюється з наперед визначеними умовами. Частина правил є універсальною, інші налаштовуються під конкретний бізнес.

Для магазину електроніки важливими можуть бути висока сума й термінова доставка. Для сервісу за підпискою – велика кількість акаунтів, створених з одного пристрою. Для маркетплейсу – підозрілі зв’язки між продавцем, покупцем і платіжними реквізитами.

3. Оцінювання ризику

За результатами перевірки операція отримує певний рівень ризику. Після цього можливі різні сценарії:

• платіж проходить без додаткових дій;
• користувач проходить додаткову автентифікацію;
• операція надходить на ручну перевірку;
• платіж відхиляється;
• окремі параметри додаються до списку ризикових.

Для додаткового контролю бізнес може використовувати верифікацію карток. Вона дає змогу перевірити, чи дійсна картка та чи може користувач підтвердити володіння нею до проведення основного списання.

У сценаріях бронювання, доставки, оренди або замовлення товарів із нестабільною наявністю може застосовуватися холдування коштів клієнтів. Сума спочатку резервується на картці, а фактичне списання відбувається лише після підтвердження замовлення.

4. Оновлення правил

Шахрайські схеми постійно змінюються. Тому антифрод для онлайн-сервісів не можна один раз налаштувати й більше не переглядати.

Потрібно аналізувати нові типи атак, причини чарджбеків, помилкові відхилення та зміни в поведінці реальних покупців. Інакше система або пропускатиме нові ризики, або блокуватиме дедалі більше нормальних платежів.

У розмовній мові часто використовують поняття «PCI DSS сертифікація». Формально процес передбачає оцінювання середовища, підтвердження виконання вимог і оформлення документів про відповідність.

Наразі чинною версією стандарту є PCI DSS 4.0.1. Вона не додала нових вимог порівняно з 4.0, але уточнила окремі положення, зокрема щодо платіжних сторінок, багатофакторної автентифікації та взаємодії зі сторонніми постачальниками.

Етап 1. Визначення платіжного середовища

Компанія має зрозуміти, де саме зберігаються, обробляються або передаються дані карток. До перевірки можуть входити сервери, застосунки, мережеве обладнання, робочі станції, хмарні сервіси та сторонні інтеграції.

Помилка на цьому етапі може призвести до того, що частина платіжної інфраструктури залишиться поза оцінюванням.

Етап 2. Аналіз невідповідностей

Поточні налаштування та процеси порівнюють із PCI DSS вимогами. Компанія визначає, які заходи вже впроваджено, а де потрібні зміни.

Це може стосуватися шифрування, керування доступом, журналювання, оновлення програмного забезпечення, тестування вразливостей або внутрішніх політик.

Етап 3. Усунення недоліків

Компанія змінює інфраструктуру та процеси: обмежує права доступу, оновлює системи, налаштовує моніторинг, проводить сканування, документує відповідальність і навчає працівників.

У PCI DSS 4.x більше уваги приділено не разовій підготовці до аудиту, а постійному контролю. Наприклад, організація має регулярно підтверджувати межі платіжного середовища, аналізувати ризики та відстежувати ефективність засобів захисту.

Етап 4. Вибір способу підтвердження відповідності

Формат залежить від типу компанії, кількості транзакцій, платіжної моделі й вимог банку-еквайра або карткової платіжної системи.

Для частини компаній може бути доступний Self-Assessment Questionnaire – анкета самооцінювання. В інших випадках потрібне повне оцінювання із залученням Qualified Security Assessor, підготовка Report on Compliance та зовнішнє сканування вразливостей через Approved Scanning Vendor.

Етап 5. Оцінювання та підготовка документів

Під час перевірки аналізують технічні налаштування, документацію, журнали подій, результати тестувань і фактичне виконання політик.

Результат підтверджується відповідними документами, наприклад Attestation of Compliance, Self-Assessment Questionnaire або Report on Compliance – залежно від застосованого способу оцінювання.

Етап 6. Підтримка відповідності

PCI Compliance не завершується після проходження аудиту. Інфраструктура змінюється: компанія додає нові платіжні методи, оновлює чекаут, підключає підрядників і змінює внутрішні системи.

Тому контроль доступу, сканування, тестування, перегляд політик і навчання працівників мають відбуватися регулярно, а не лише перед наступною перевіркою.

PCI Compliance показує, що компанія працює з картковими даними за визначеними правилами безпеки. Для платіжного провайдера або процесингової платформи це базова вимога до інфраструктури, адже через неї проходять платіжні потоки різних мерчантів.

Для самого бізнесу співпраця з PCI DSS-сумісним провайдером допомагає:

• зменшити кількість систем, у яких бізнес самостійно працює з картковими даними;
• обмежити доступ працівників до чутливої інформації;
• спростити побудову безпечного платіжного сценарію;
• знизити ризик витоку даних через платіжну форму або інтеграцію;
• виконувати вимоги банку-еквайра й карткових платіжних систем.

Водночас відповідність PCI DSS не означає, що інциденти повністю виключені. Стандарт створює базовий рівень захисту, але безпека залежить і від того, як компанія підтримує системи після оцінювання, контролює підрядників та реагує на нові кіберзагрози.

Навіть невеликі продавці не виключаються зі сфери дії PCI DSS лише через невеликий обсяг платежів. Однак спосіб і обсяг підтвердження відповідності можуть відрізнятися. Їх визначають платіжні бренди та банк-еквайр.

Tranzzo поєднує інфраструктурний захист із перевіркою операцій у реальному часі. Платформа відповідає PCI DSS Level 1 і щороку підтверджує відповідність стандарту. Антифрод-система використовує понад 200 правил моніторингу, дає змогу адаптувати перевірки під специфіку бізнесу та оновлювати базу фрод-сценаріїв у міру появи нових ризиків.

Антифрод Tranzzo може враховувати суму, географію, дані картки, частоту спроб, пристрій та інші параметри операції. Правила налаштовуються так, щоб не лише блокувати підозрілі дії, а й не створювати зайвих перешкод для звичайних покупців.

Рішення підходить для:

• інтернет-магазинів, яким важливо зменшувати кількість шахрайських замовлень і водночас не втрачати конверсію;
• маркетплейсів, де потрібно аналізувати операції між великою кількістю покупців і продавців;
• сервісів за підпискою, які працюють із регулярними списаннями, токенами та повторними спробами оплати;
• онлайн-сервісів, платформ бронювання, освітніх продуктів і мобільних застосунків.

Використовувати антифрод можна не лише разом із процесингом Tranzzo. Компанія також пропонує хмарне SaaS-рішення з інтеграцією через API та підтримкою 24/7/365.

Докладніше про антифрод, 3D Secure, захист даних і безпечні онлайн-платежі на сайті можна дізнатися на сторінці рішення.

Безпека онлайн-платежів не зводиться до одного інструмента. PCI DSS визначає, як компанія має захищати дані карток, платіжну інфраструктуру, доступи й внутрішні процеси. Антифрод-система працює на рівні окремих операцій і допомагає виявляти підозрілі платежі в реальному часі.

Для бізнесу важливо використовувати обидва рівні захисту. Надійна інфраструктура зменшує ризик витоку даних, а правильно налаштований антифрод допомагає уникати шахрайських списань без масового блокування реальних клієнтів.

При цьому правила безпеки потрібно регулярно переглядати. Платіжні сценарії змінюються, з’являються нові способи атак, а налаштування, які працювали рік тому, можуть уже не відповідати поточним ризикам.

Чи обов’язково бізнесу мати сертифікат PCI DSS?

PCI DSS призначений для всіх організацій, які зберігають, передають або обробляють карткові дані, незалежно від їхнього розміру. Проте формат підтвердження відповідності залежить від платіжної моделі, обсягу транзакцій, вимог банку-еквайра та карткової платіжної системи.

Якщо бізнес передає весь процес оплати PCI DSS-сумісному провайдеру і не працює з картковими даними напряму, обсяг його власних вимог може бути меншим. Повністю відповідальність бізнесу при цьому не зникає.

Чим антифрод-система відрізняється від PCI DSS?

PCI DSS – це стандарт захисту платіжної інфраструктури та карткових даних. Він встановлює вимоги до шифрування, мереж, доступу, моніторингу, програмного забезпечення та внутрішніх політик.

Антифрод-система перевіряє окремі транзакції й визначає, наскільки вони схожі на шахрайські. Вона аналізує поведінку користувача, пристрій, геолокацію, суму, частоту платежів та інші сигнали.

Як працює PCI DSS та антифрод для захисту платежів на онлайн-сервісах?

PCI DSS зменшує ризик витоку або несанкціонованого використання карткових даних усередині платіжної інфраструктури. Антифрод аналізує операції під час їх проведення та може пропустити платіж, запросити додаткове підтвердження або заблокувати підозрілу спробу.

Разом вони закривають два різні рівні ризику: безпеку системи та безпеку конкретної транзакції.