Платить предохраняясь

Петя Мокин (toffler@mail.ru)

Спецвыпуск: Хакер, номер #061, стр. 061-076-2

Однако существует и целый ряд небольших онлайновых магазинов, предоставляющих вполне нормальные виды услуг, но использовать пластиковые карточки на этих сайтах все равно опасно. Не категорично, но справедливо к тем магазинчикам, которые самостоятельно принимают оплату (процессят твою кредитку), значит, хранят сведения о номерах карточек своих клиентов у себя на сайте. Будь внимателен к подобным ситуациям. Черт его знает, что за магазин, что за сайт, что за сотрудники и насколько это безопасно. Номер твоей кредитки могут продать негодяям. Или хакеры смогут поломать сайт магазина, чтобы увести всю клиентскую базу. Или кто-то из сотрудников магазина аккуратненько перепишет эту базу на flash'ку и продаст за сумму, равную своей месячной зарплате, тем же негодяям.

Приличные места

Как же работают приличные интернет-магазины? Приличный российский интернет-магазин не станет заниматься приемом денег с пластика самостоятельно. Держать и охранять базу клиентов, обеспечивать безопасные транзакции и т.д. - это ненужные для солидных проектов дела. Процессингом пластиковых карточек занимаются специальные системы, им на откуп и отдаются подобные действия. Сапогами должен заниматься сапожник, печь пироги - кондитер, а карточки должны процессить процессинговые центры - так гласит старая поговорка.

В России три таких центра, и они общеизвестны: ASSIST, CyberPlat и процессинговый центр "ИМПЭКСБАНКа". Каждый из них подключен к своему эквайринг-банку. Эквайринг - это, так сказать, урегулирование платежных отношений между эмитентом карты (банком, выпускающим ее), ее держателем (это ты) и получателем платежа (магазином или сервисом). Эквайринг-банк регулирует эти взаимоотношения за соответствующую комиссию: в случае подтверждения платежа снимает деньги со счета плательщика и переводит их на счет магазина (сервиса).

Весь процесс платежа происходит следующим образом. Ты выбираешь товар или услугу, указываешь способ оплаты пластиковой карточкой, нажимаешь кнопку "Оплатить" или что-то подобное, после чего с сайта тебя перенаправляют на совершенно другой ресурс - страницу процессингового центра. Обрати внимание на то, что эта страница защищена со всех сторон как различными сертификатами, так и другими средствами. Данные своей карты (неважно, кредитная карта, дебетовая или даже не пластиковая - электронная) ты будешь вводить именно там - на защищенном сайте, а вовсе не на сайте магазина.

Далее данные из процессингового центра поступают в эквайринг-банк. Тот отправляет данные в банк-эмитент (банк, выпустивший карту), эмитент подтверждает или не подтверждает и передает соответствующий ответ. По этой же цепочке данные возвращаются в магазин. Обычно процедура занимает несколько секунд, по истечении которых магазин имеет четкий ответ о том, подтвержден ли твой платеж банком. В любом случае процессинговому центру, вне зависимости от его выбора магазином, предоставляются весьма ограниченные данные о твоей карте. Например, сообщают последние четыре цифры, твое имя и название банка, воспользоваться которыми в неблаговидных целях будет практически невозможно.