Nếu đã từng liên kết thẻ tín dụng với các ứng dụng thanh toán, chắc chắn bạn sẽ phải hoàn thiện bước nhập mã CVV - 3 con số được in ở mặt sau của thẻ. Đây được coi là 1 trong những lớp bảo mật cơ bản khi dùng thẻ tín dụng. Để lộ mã CVV cũng đồng nghĩa với việc toàn bộ tiền trong thẻ có thể bị đánh cắp.
Mã CVV là gì?
CVV là viết tắt của Card Verification Value. Mã này chủ yếu được sử dụng trong các giao dịch “card-not-present” - tức những trường hợp người bán không trực tiếp nhìn thấy hoặc cầm thẻ, chẳng hạn mua hàng trên website, thanh toán trong ứng dụng, đặt phòng khách sạn hay giao dịch qua điện thoại. Mã CVV vì thế được sử dụng như một lớp kiểm tra bổ sung bên cạnh số thẻ và ngày hết hạn, giúp xác nhận rằng người thực hiện giao dịch có quyền tiếp cận chiếc thẻ.
Tại sao mã CVV lại cần bảo mật tuyệt đối?
1. CVV giúp xác nhận người thanh toán đang có quyền tiếp cận thẻ
Khi thanh toán trực tiếp tại cửa hàng, người bán có thể kiểm tra chiếc thẻ vật lý thông qua thao tác quẹt, cắm chip hoặc chạm thẻ vào máy POS. Trong khi đó, với một giao dịch online, chiếc thẻ không xuất hiện, không ai có thể kiểm tra. Người mua chỉ cần nhập thông tin thẻ vào website hoặc ứng dụng.
Đây là lúc CVV phát huy vai trò.
Theo PCI Security Standards Council (PCI SSC), mã xác thực thẻ như CVV thường được yêu cầu trong các giao dịch không xuất trình thẻ, bao gồm thương mại điện tử hoặc đặt hàng qua điện thoại, nhằm hỗ trợ xác minh rằng khách hàng đang sở hữu thẻ.
Nếu một người chỉ có số thẻ và ngày hết hạn, họ có thể vẫn bị từ chối khi website yêu cầu thêm CVV để hoàn tất giao dịch. Điều này không có nghĩa CVV có thể ngăn chặn hoàn toàn gian lận, nhưng khiến những thông tin thẻ bị đánh cắp trở nên kém hữu dụng hơn trong những giao dịch có yêu cầu mã xác thực này.
Nói đơn giản, CVV không phải mật khẩu của thẻ nhưng đóng vai trò như một “mảnh ghép” để hệ thống thanh toán kiểm tra giao dịch khi không thể nhìn thấy chiếc thẻ vật lý.
2. CVV được ngành thanh toán xếp vào nhóm dữ liệu xác thực nhạy cảm
Một trong những lý do thuyết phục nhất để không coi nhẹ CVV nằm ở cách ngành thanh toán quy định về việc lưu trữ mã này.
PCI SSC phân loại CVV nhóm “Sensitive Authentication Data (SAD)” - dữ liệu xác thực nhạy cảm. Theo tiêu chuẩn PCI DSS, doanh nghiệp không được lưu trữ mã xác thực thẻ sau khi giao dịch cụ thể đã được cấp phép, ngay cả trong trường hợp mã này được mã hóa.
Điều này tạo ra một khác biệt đáng chú ý giữa CVV và một số thông tin khác trên thẻ. Một website có thể cho phép người dùng lưu thông tin thẻ để thuận tiện cho những lần mua hàng sau, nhưng CVV không được lưu lại để phục vụ các giao dịch tương lai theo quy định của PCI DSS. Chính vì vậy, người dùng đôi khi vẫn được yêu cầu nhập lại CVV dù website đã ghi nhớ số thẻ.
PCI SSC thậm chí nêu rõ việc khách hàng đồng ý cho doanh nghiệp lưu CVV cũng không làm thay đổi yêu cầu này. Sau khi giao dịch được xác thực, mã CVV phải được loại bỏ khỏi hệ thống theo yêu cầu của tiêu chuẩn.
Việc một tiêu chuẩn bảo mật thanh toán quốc tế đặt ra yêu cầu nghiêm ngặt như vậy cho thấy CVV không đơn thuần là một dãy số được in thêm trên thẻ. Đây là thông tin xác thực có giá trị trong quá trình xử lý giao dịch và cần được hạn chế lưu giữ để giảm rủi ro nếu hệ thống bị xâm nhập.
Bởi vậy, việc bảo mật CVV không chỉ có ý nghĩa trong trường hợp chiếc thẻ vật lý bị mất. Ngay cả khi thẻ vẫn nằm trong ví, người dùng vẫn có thể gặp rủi ro nếu vô tình để lộ toàn bộ thông tin thẻ trên môi trường số.
Một bức ảnh chụp cả hai mặt thẻ gửi qua tin nhắn, email hay mạng xã hội có thể vô tình cung cấp cho người khác cả số thẻ, ngày hết hạn và CVV. Đây là lý do các tổ chức tài chính/ngân hàng phát hành thẻ khuyến nghị không chia sẻ ảnh chụp thẻ hoặc mã CVV qua tin nhắn, email hay mạng xã hội; đồng thời người dùng nên thường xuyên kiểm tra giao dịch và nhanh chóng liên hệ ngân hàng nếu phát hiện khoản thanh toán bất thường.
(Nguồn: Bunq)
Ngọc Linh
