Современный бизнес невозможно представить без приема онлайн-платежей: это такая же необходимость, как электричество или интернет. Но если не обеспечить безопасность платежной системы, это может привести к атакам мошенников, штрафам регуляторов и недоверию клиентов.

Какие риски связаны с электронными платежами?

Внедрение вредоносного кода

По данным Вебмониторэкса, за 1 полугодие 2025 года 25% всех кибератак пришлось на межсайтовый скриптинг — внедрение вредоносного кода на уязвимый сайт, веб-приложение или в API. Когда пользователь заходит на зараженный сайт, скрипт автоматически выполняется в его браузере, что может привести к подмене страниц и утечке информации — как персональной, так и платежной.

Транзакции с украденных карт

Мошенники используют данные карт, полученные через взломанные сайты, сливы в даркнете или с помощью социальной инженерии. Они не только переводят с них деньги, но и покупают товары. Бизнес вынужден возвращать деньги по чарджбэку — процедуре оспаривания платежа по банковской карте, которую инициирует ее реальный владелец. При этом компания или предприниматель теряет не только товар, но и деньги по комиссиям за эквайринг. Также бизнес может попасть под блокировку счета на время банковской проверки по 115-ФЗ — закону об отмывании денег.

Фишинг и мошеннические сайты

Мошенники создают точные копии сайтов, максимально похожие на страницы интернет-магазинов и брендов. Обманутые клиенты добровольно вводят свои платежные данные на поддельных ресурсах, думая, что взаимодействуют с настоящим сервисом. В итоге оплата уходит мошенникам, а бизнес упускает прибыль и получает репутационный ущерб, ведь пострадавшие клиенты ассоциируют инцидент с магазином и обращаются в компанию с жалобами на «недоставленные» заказы.

Человеческий фактор

Ошибки сотрудников — одна из главных угроз безопасности платежей. Работник может по невнимательности открыть фишинговое письмо, выдав мошенникам доступ к системе, или установить слишком простой пароль, который легко взломать. Иногда сотрудники нарушают правила, например, пересылают пароли или платежные данные через незащищенные каналы — по почте или с помощью мессенджеров.

Вот что важно сделать, чтобы защитить бизнес и своих клиентов при онлайн-платежах.

Соблюдать стандарт безопасности PCI DSS

Чтобы принимать онлайн-платежи, необходимо соответствовать международному стандарту в сфере защиты данных карт — PCI DSS (Payment Card Industry Data Security Standard), который был разработан крупнейшими международными платежными системами, такими как Visa и MasterCard.

Сколько требований в PCI DSS?

Стандарт охватывает 12 аспектов защиты и регламентирует безопасность сетей, правильную настройку систем и защиту платежной информации как при ее хранении, так и при передаче. Обязательны антивирусная защита, регулярное обновление программного обеспечения и строгий контроль доступа к данным — всего в стандарте прописано более 400 проверочных процедур.

Кто должен соответствовать стандарту?

Требования PCI DSS должны соблюдать все организации, которые хранят, обрабатывают или передают данные хотя бы одной карты: от интернет-магазинов и онлайн-школ до банков и мобильных операторов. Подтверждать соответствие стандарту необходимо ежегодно — самостоятельно или с привлечением аудитора, если компания обрабатывает более 1 млн транзакций в год.

Использовать защищенное соединение

Стандарт PCI DSS требует обязательного использования защищенного соединения для обработки платежей. Такое соединение обеспечивается протоколом HTTPS, который шифрует передаваемые данные с помощью криптографического сертификата TLS. Последний часто называют SSL-сертификатом, однако это просто традиция: SSL — устаревшая версия TLS-протокола, которая в реальности не используется.

Как это работает?

Во время безопасного соединения создается «туннель» для передачи информации между браузером и сайтом, который защищен криптографическими алгоритмами. Например, если пользователь вводит данные карты, сертификат заменит их звездочками, чтобы никто не мог их подсмотреть или перехватить.

Помимо шифрования данных, защитный протокол подтверждает подлинность сайта: это исключает фишинг и гарантирует, что при передаче информация не была изменена злоумышленниками. Использование HTTPS позволяет передавать банковские реквизиты, номера паспортов, логины, пароли и другую конфиденциальную информацию.

Как все проверить?

Визуально убедиться в безопасности сайта можно, проверив адресную строку: там должен быть значок замка и префикс https://. При отсутствии HTTPS-протокола браузеры предупреждают пользователей о небезопасном соединении, а поисковики понижают сайты в выдаче даже при грамотной SEO-оптимизации.

Подключить токенизацию

Еще один способ шифрования платежной информации — токены. По сути они напоминают криптографический сертификат, но используются не при передаче, а при хранении карточных данных.

Как это работает?

Вся информация о карте: ее номере, сроке действия и CVV (трехзначном коде на оборотной стороне пластика) зашифровывается в виде уникальных токенов — случайного набора символов. Даже если мошенники смогут перехватить токен, он окажется для них бесполезным: восстановить по нему номер карты невозможно.

Где необходимы токены?

При повторных покупках токен используется вместо реальных данных — это не только защищает платежную информацию, но и упрощает последующие платежи для клиентов, которым достаточно «привязать» карту всего один раз. На этой технологии основаны рекуррентные платежи — автоматическая оплата по подписке, а также рекарринг — повторная оплата по инициативе клиента. Например, при очередной покупке в интернет-магазине или заказе доставки.

Внедрить 3D Secure

Дополнительная защита для клиента — протокол 3D Secure, разработанный специально для безопасных интернет-платежей. Его поддерживают все основные платежные системы: Visa (Verified by Visa), Mastercard (SecureCode) и российская «Мир» (MirAccept).

Как это работает?

При оплате покупатель вводит данные карты, после чего перенаправляется на страницу банка для ввода одноразового кода из SMS. Код приходит на телефон, привязанный к карте. В процессе участвуют три стороны: продавец, платежная система и банк-эмитент.

Главное преимущество технологии — двойная защита. Мошенники не смогут воспользоваться украденными данными карты без доступа к телефону владельца.

Что умеет 3D Secure 2.0

Современная версия протокола — 3D Secure 2.0 сама определяет, нужно ли дополнительно подтверждать платеж. Она анализирует множество параметров: от суммы покупки до устройства, с которого совершается оплата. Если операция кажется безопасной, например, клиент часто покупает в этом интернет-магазине на небольшие суммы, платеж пройдет мгновенно без ввода кода. В подозрительных случаях, таких как крупная покупка с нового устройства, система запросит подтверждение через SMS или биометрию.

Ввести многофакторную аутентификацию

Технология 3D Secure проверяет аутентификацию пользователя при онлайн-оплате, но не обеспечивает защиту в других случаях — например, при входе в личный кабинет с привязанными картами или при изменении платежных реквизитов.

Для повышения безопасности технологию 3D Secure можно дополнить многофакторной аутентификацией (MFA). В этом случае при входе, помимо пароля, система запросит дополнительное подтверждение: код из SMS, push-уведомление в приложении или отпечаток пальца. Такой подход предотвратит несанкционированный доступ, даже если злоумышленник узнает основной пароль.

Где еще используется MFA?

Многофакторная аутентификация способна обезопасить не только клиентов, но и сотрудников, имеющих доступ к финансовым операциям. Например, при переводе крупных сумм — массовых выплатах зарплаты или оплате поставщику — используется дополнительное подтверждение личности через физический токен — так называемый аппаратный ключ. Это небольшое USB-устройство или NFC-брелок, которые нужно подключить к компьютеру или поднести к смартфону для подтверждения операции.

Такую защиту можно сочетать с тренингами по кибербезопасности, где сотрудники учатся распознавать фишинг, а также с разграничением уровней доступа к платежной информации внутри компании.

Настроить антифрод

Чтобы отследить и предотвратить мошеннические транзакции, существуют антифрод-системы. Они анализируют каждую операцию и автоматически блокируют те, которые кажутся подозрительными.

Когда клиент за короткий промежуток времени совершает десятки покупок в разных магазинах — это явный признак тестирования украденных карт. Не менее важна проверка геолокации: если оплата происходит в Челябинске и Пуэрто-Рико с разницей в 5 минут, это повод для блокировки транзакции и отправки клиенту запроса на подтверждение операции.

Что умеют антифрод-системы?

Современные антифроды учитывают сотни факторов: от скорости ввода данных до истории операций на конкретном устройстве. Они способны самообучаться, выявляя новые схемы мошенничества.

Антифрод-системы можно адаптировать под специфику своего бизнеса: выставить лимиты сумм для разных категорий товаров, контролировать частоту операций, анализировать устройства и браузеры. При этом слишком строгие правила настройки могут блокировать легальных клиентов, а слабые — пропускать мошенников.

Выбрать надежные платежные решения

Самостоятельно следить за безопасностью платежей — сложно и дорого, особенно если речь идет о малом и среднем бизнесе. Готовые платежные решения, такие как эквайринг от Paygine, уже включают в себя комплекс мер безопасности: встроенный антифрод, 3D Secure, услугу токенизации карт и сертификат PCI DSS. Все они подключены в пэй-форме Method, с помощью которой можно принимать оплату на сайте или в приложении.

Подведем итоги

• Бизнес немыслим без онлайн-платежей, но с ними связаны регулярные риски: воздействие вредоносного кода, фишинг, транзакции с украденных карт и ошибки сотрудников.
• Обязательный «безопасный» минимум — соответствие стандарту PCI DSS, шифрование данных через HTTPS и токенизация платежей.
• Дополнительную защиту обеспечивают 3D Secure и многофакторная аутентификация, которые усложняют мошенникам доступ даже при утечке данных.
• Антифрод-системы анализируют подозрительные операции, но их настройку важно балансировать, чтобы не блокировать легальных клиентов.
• Готовые решения вроде Paygine с пэй-формой Method упрощают задачу — они уже содержат необходимые инструменты безопасности и регулярно обновляются.