Заплатил? Лови ответ.

Вообще, вот вам сразу универсальная рекомендация: запрет на любую оплату в интернете на карту, которую вы используете в оффлайте, ее данные нигде не светим, а для каждой оплаты в интернете выпускаем виртуальную. После использования - в утиль. Т.е. блокируем. Но это слишком просто и очевидно. Для русского человека, ессно. Потому, читаем дальше, куда именно вы вляпались.

Пункт 1. Законодательство

Финансовые операции по сохраненным реквизитам карт (они же в простонародии известные как подписки, безакцептные списания, периодические платежи, и прочие выкидыши народного фольклора) регламентируются законом о национальной платежной системе, регулятором которого является Национальный Сервис Платежных Карт, он же владелец марки "МИР".

И там все гладко прописано, например, что плательщик должен выразить свое согласие на любую операцию. И все бы было хорошо, но вот беда, сам НСПК получает процент с каждой операции себе в карман. То есть имеет прямой финансовый интерес в обратном. Т.е. будет закрывать глаза на вообще любые операции. Почему? Мы живем в самой великой стране...

Причем, из практики общения с этими ребятами, когда им чего-то надо - то поставят раком всех, ссылаясь на право регулятора. Когда от них чего-то надо - обращайтесь в вышестоящие органы, мы не знаем ничего. Так и живем.

Зафиксировали.

Пункт 2. Какие операции оплаты вообще существуют в интернете? Сначала смотрим со стороны законов и нормативных актов

Многие просто не в курсе, как они оплачивают, и какие галочки ставят. Держите упрощенный ликбез "для народа".

• Оплата с вводом реквизитом карт, но без ввода кода из СМС. Ввели карту (причем ранее вы ее этому конкретному торговцу не показывали), и сразу оплата. Сталкивались? Такое встречается при оплате, например, онлайн ТВ. Палить не буду, где такое видел. Назовем, условно, ОкеанТВ. Торговец мотивирует это тем, что вводить данные с пульта ТВ не удобно, и необходимо упростить сей процесс. И банки соглашаются. У каждой карты есть свой лимит на такие операции. Это работает примерно так же, как в обычном магазине, если сумма не превышает 3 т.р. Прислонил карту, сразу оплата без ввода пина.
  Рекомендация: не хотите таких оплат - потребуйте у банка поставить этот лимит на ноль. Если банк отказывает/не может - вам нужен другой банк;

• Все то же самое, что и в предыдущем пункте, но еще торговец сохраняет себе реквизиты вашей карты для последующих оплат подписок. Вообще, тема по нынешним временам достаточно редкая, так как плательщиков такие операции задолбали, и они опротестовываются на ура. Сейчас все же нужно согласие в виде ввода инициирующей СМС на подобные мероприятия в большинстве случаев. Исключение: когда торговец откровенно фродит на мелкие суммы, но массово. Об этом ниже отдельным пунктом.
  Рекомендация: если вдруг попали в такую ситуацию - напрягите банк претензией. С вас не убудет;

• Обычная операция покупки с вводом кода. Самая обычная оплата в интернете, наименее опасная операция. Проблема только в том, что все остальные привязки под нее маскируются;

• То же, что и в предыдущем пункте, только вы еще даете согласие на сохранение ваших карточных данных торговцу. И не всегда плательщику понятно, где стоит соответствующая скрытая от глаз галочка. Действительно, зачем его напрягать;

• Предзаполненные поля. Это когда вы выдали согласие в предыдущем пункте, но это еще не подписка. Ваши данные торговец заботливо забивает в форму оплаты картой за вас. Вам нужно лишь вбить CVV2 код. После этого вам должна прийти СМС с кодом. Ну или банк доверяет торговой точке на столько, что проводит операцию без СМС, под свою ответственность. Такие операции вы можете наблюдать, например, при оплате услуг ЖКХ, где вероятность фрода минимальна, и все достаточно беспроблемно. Ибо надо быть очень талантливым челом, что бы за свою хату платить ворованной картой. В принципе, это еще безопасные сценарии, и это не подписки. Они - следующие:

• А вот теперь наше любимое. Периодический платеж по графику, по инициативе торговца. Та самая внезапная СМСка о списании, без каких-либо действий с вашей стороны. Условие ее появления - ваше согласие (а торговец потом вам любезно напомнит, где вы забыли поставить/снять галочку), и ввод СМС. Если вы это сделали, и чем-то не довольны - поздравляю, Шарик, ты Балбес! Отбить такую операцию не практически не реально. Эти подписки, в принципе, видны в банковских приложениях, и их можно отменять там;

• И второй номер. Оплата по сохраненным реквизитам по инициативе плательщика. Это когда вы любезно доверяете право вводить карту за вас торговцу. Ессно, изначально ввели код из СМС и выразили так свое согласие на данное мероприятие при привязки карты. Но вам нужно нажать, например, потом кнопочку "оплатить". И это ключевой момент, действие должно исходить от вас. Самый простой пример - условный Озон, где вы один раз привязали карту, а потом никакие СМС уже не летят, а все списывается с нее. Все остальные действуют аналогично. Эти подписки так же видны в банковских приложениях.
  Рекомендация: Во избежание сюрпризов, на подобные сценарии оплаты заведите отдельную карту, и пополняйте ее непосредственно на необходимые суммы.

• Еще есть такая относительно редкая штука, как предавторизация - поставторизация. Встречается в гостиницах и на заправках. Например, привязывали карту для оплаты на заправках в приложениях Яндекса? Ессно, сначала тот же сценарий привязки карты с СМС к приложению. Как это работает: вы вводите сумму, на которую хотите купить топлива, у вас холдируются средства. Закончили заправку на меньшую сумму, вам вернули разницу. Либо удержали всю. В гостиницах этот сценарий такой же, просто растянут по времени.
  Иногда банки долбят вас подряд СМС сообщениями, что у вас сначала удержано при холдировании, потом при списании, что в водит вас в заблуждение. Например, один малоизвестный изначально венгерский банк до сих пор не умеет нормально информировать своих клиентов о таких операциях. Но ты же его юзаешь за кешбек 5% на заправках и готов терпеть рукожопость его сотрудников и это неудобство, правда?

Все что выше - это белые сценарии в соответствии с законодательством. Но мы живем в самой...

Пункт 3. Фрод технический (с карточными данными)

Есть такой замечательный сертификат PCI DSS, при наличии которого владелец получает право напрямую оперировать карточными данными. На практике это означает, что торговец размещает форму ввода карт прямо у себя на сайте, и...

Получаем нечто вроде легального фишинга.

Ходят слухи, что данный сертификат в этой стране контролирующие органы выдают практически любому за 10 килоевро. А дальше... Дальше ты фактически отдаешь все установочные данные своей карты в руки торговцу. А дальше...

Ну это клевета и так естественно не бывает (еще как бывает).

А дальше ему не нужно даже оформлять подписку по правилам. Зачем? Теперь он сам может инициировать обычную оплату в интернете без ввода СМС. Зачем эти сложности с подписками. Тем более, если вы ее отменили в приложении банка. Когда можно и так. А ваш банк эмитент такие подписки естественно уже не видит, и остановить платеж не может. Если ты дебил, раз доверил свою карту неизвестно кому, то что может сделать твой банк?

По такой схеме работают много какие сервисы платного ТВ, и некоторые другие достаточно известные конторы. Ты, например, можешь пойти прям сейчас привязать свою карту на Вайлдбериз, и не увидеть это в своем банковском приложении. Хотя в данном случае я склоняюсь больше в сторону рукожопости сотрудников самого Вайлдбериса, так как прямого умысла фродить у них, вроде как, нет. Но карты некоторых банков там не работают. Почему? Потому что у этих банков нормальная своя безопасность. Как можно провести операцию оплаты с признаками ранее привязанной карты, если инициирующей операции нет? Но дальше плательщик негодует, и требует убрать эту настройку (для всех торговцев вообще), ведь ему нужно сна ВБ что-то срочно купить! А далее... Полагаю, понятно. Да, Шарик, ты дебил.

В колцентре любого банка - аналогично, там вообще огромная текучка, это адская работа, каждый день слушать, что лично ты у кого-то урвал его последний кусок. И операторы сами часто не в курсе, как нормально донести до клиента последствия того, что он просит сделать. А иногда просто не в курсе, как это работает и что он тут людям объясняет, потому что нормальная практика - кинуть человека в процесс, научится, значит выплывет. Обучается на вас в реальном времени. С закономерными последствиями.

Т.е. мы получаем практически легальный фишинг. Почему? На другой стороне бизнесу банка нужна прибыль, торговцу тоже, и платежной системе перепадет процент. Интересы совпадают. Всех все устраивает!

Работает - нормально. Ессно, если ты поднимешь вой, напишешь претензию, тебе вернут твои 300 рублей. Через месяц-другой. Только вой поднимает 5% максимум. Остальные машут рукой.

Бизнес по-русски. Мы живем в самой...

Пункт 4. Фрод, потому что я так хочу

Т.е. без технических мероприятий. Ну действительно, зачем такой организации, как Ростелеком, напрягаться исполнением законов, когда можно просто кинуть?

Данный вопрос уже целиком и полностью в юридическом поле, поэтому я его не комментирую. Вне контекста статьи, так сказать.

Итого:

Главная рекомендация вам дана в самом начале. Следовать ей, или нет - ваше дело. И ваши риски. А я все, что хотел, написал.

Такие дела.