Илья Завьялов показывает, что означают CVV, 3-D Secure и холд на языке строки в приложении банка
На карте напечатано полтора десятка символов, и почти у каждого есть имя, которое банк произносит буднично, а держатель слышит впервые. В выписке к этому добавляются незнакомые названия, суммы, которые появляются и исчезают, и пометка об ожидании. Ниже собран короткий словарь этих слов и границ между ними. Вопрос простой: какая часть данных подтверждает личность, какая описывает карту, а какая фиксирует состояние денег.
Илья Завьялов показывает, что означают CVV, 3-D Secure и холд на языке строки в приложении банка
Слова на пластике и что каждое из них описывает
На лицевой стороне карты стоят длинный номер, срок действия и имя держателя. Первые шесть или восемь цифр номера называются банковским идентификатором и сообщают платёжной системе, какой банк выпустил карту. Остальные адресуют конкретный счёт, а последняя цифра работает контрольной суммой и отсеивает опечатку ещё до отправки запроса.
Имя держателя выглядит как удостоверение личности, хотя в платёжном сообщении оно проверяется редко. Отказ из-за расхождения в написании встречается нечасто. Понимать это полезно заранее: звонок с требованием назвать имя и фамилию «для сверки» опирается на данные, видные любому, кто держал пластик в руках.
Вопрос о том, что означают CVV, 3-D Secure и холд, всплывает в момент, когда одна из этих вещей мешает платежу пройти. До этого слова живут в справке банка и никого не занимают. Разбирать их удобнее по порядку: данные на самой карте, процедура подтверждения, след платежа в приложении.
CVV: три цифры, которые говорят только о наличии карты
CVV, он же CVC в зависимости от платёжной системы, это трёхзначный код на обороте рядом с полосой для подписи. Банк рассчитывает его из номера карты, срока действия и служебного ключа, поэтому вычислить код по одному лишь номеру со стороны невозможно. На карточках American Express он состоит из четырёх цифр и печатается спереди.
Магазину запрещено хранить CVV после проведения платежа, это записано в отраслевом стандарте безопасности карточных данных. Поэтому при повторной покупке номер карты подставляется сам, а три цифры приходится набирать заново. Сайт, предлагающий запомнить код целиком, либо нарушает стандарт, либо собирает реквизиты для чужих целей.
Код ничего не сообщает о согласии владельца на конкретную сумму и не заменяет подпись. Он свидетельствует только о владении картой в момент ввода, поэтому украденный вместе с номером код открывает дорогу ко всем платежам, где дополнительное подтверждение не требуется. Три цифры с оборота не диктуются по телефону никому.
3-D Secure: кто и что проверяет во время подтверждения
3-D Secure это протокол, где к паре магазина и банка добавляется третий участник, домен платёжной системы. Отсюда три домена в названии. Когда покупка идёт через этот механизм, банк получает возможность спросить держателя напрямую: подтвердить сумму в приложении, ввести код из сообщения, приложить палец к сканеру.
Вторая версия протокола работает тише первой. Магазин передаёт банку несколько десятков признаков сделки, включая устройство, историю покупок и адрес доставки, и банк сам решает, задавать ли вопрос человеку. Большинство покупок проходит молча, такой сценарий называют бесфрикционным.
Практическое следствие касается денег: при подтверждённой операции ответственность за спорный платёж переходит с магазина на банк, выпустивший карту. Поэтому охота идёт именно за кодом подтверждения. Понимание того, что означают CVV, 3-D Secure и холд, сводится здесь к одному правилу: код завершает операцию, которую вы начали сами.
Авторизация и холд: сумма видна, но со счёта ещё не ушла
Из трёх слов, вынесенных в вопрос о том, что означают CVV, 3-D Secure и холд, последнее вызывает больше всего звонков в поддержку. Платёж идёт в два шага. Сначала банк проверяет карту и резервирует сумму, это авторизация. Затем магазин присылает финансовое подтверждение, деньги уходят, и это уже расчёт.
Холд означает, что деньги на счёте лежат, но потратить их нельзя. Доступный остаток уменьшается, общий баланс остаётся прежним, строка помечена словом «ожидает». Отель, каршеринг и заправка резервируют сумму заранее: на колонке блокируют стоимость полного бака, а списывают потом только залитое топливо.
Снимается холд тремя способами. Магазин присылает финальную сумму, и она списывается. Магазин отменяет операцию, и резерв уходит сразу. Магазин молчит, и резерв истекает сам по правилам платёжной системы, обычно за срок от нескольких дней до месяца. Отменённая покупка часто выглядит как двойное списание именно поэтому.
Незнакомое имя продавца и как оно попадает в выписку
В строке выписки печатается дескриптор торговой точки, короткое поле примерно в двадцать пять символов. Его задаёт магазин при подключении эквайринга, и с вывеской оно совпадает далеко не всегда: туда попадает юридическое лицо, платёжный посредник или бренд материнской компании. Рядом обычно стоит город.
Отсюда знакомые ситуации. Подписка приходит под именем магазина приложений. Билет с сайта перевозчика ложится строкой агрегатора. Кофейня в торговом центре отражается юридическим лицом арендатора, о котором посетитель никогда не слышал. Прежде чем считать строку чужой, стоит вбить дескриптор в поиск целиком.
Есть и обратная сторона. Чужие списания маскируют под нейтральные названия с общими словами вроде digital, service или support, чтобы владелец пролистал строку глазами. Помогает привычка сверять сначала сумму и дату со своими действиями, а название читать вторым шагом.
MCC: чем магазин записан в платёжной системе
MCC это четырёхзначный код категории торговой точки. Присваивает его банк-эквайер при подключении магазина, а справочник кодов ведут платёжные системы. Код едет в каждом платёжном сообщении и объясняет участникам, какой бизнес принял деньги: аптека, авиакомпания, игорное заведение, благотворительный фонд.
Держателю карты MCC определяет три вещи: начисление кэшбэка, работу категорий и лимитов в приложении, срабатывание запретов на отдельные типы трат. Кофейня внутри супермаркета может отдавать код супермаркета, и повышенный кэшбэк за кафе просто не начислится. Спор с банком решается по коду, вывеска роли не играет.
Пригождается MCC и при разборе спорной строки. Категорию видно в подробностях операции, и она подсказывает природу платежа, когда дескриптор молчит. Код денежного перевода или игорного заведения на месте покупки в магазине одежды это повод звонить в банк тем же вечером, пока резерв не превратился в списание.
Где проходит граница между блокировкой суммы и списанием
Со спорной строкой удобнее разбираться по её статусу. Ожидающая операция это резерв, который ещё можно снять у магазина вместе с отменой заказа. Проведённая операция это завершённый платёж, который оспаривают через процедуру возвратного платежа со своими сроками подачи. Оператор банка называет статус первым делом.
Отмена холда не требует возврата денег, потому что со счёта они не уходили. Возврат по проведённой покупке проходит отдельной операцией и занимает от нескольких дней до пары недель в зависимости от банка и платёжной системы. Ожидать мгновенного зачисления, как при снятии резерва, не стоит.
Ответ на вопрос, что означают CVV, 3-D Secure и холд, помещается в одну строчку. Первое подтверждает владение картой. Второе подтверждает согласие человека на сумму. Третье описывает состояние денег между обещанием заплатить и самим платежом. Границы между ними объясняют почти любую непонятную строку.
Как те же слова звучат в чужих сообщениях
Сообщение о проблеме с доставкой посылки остаётся самой частой темой мошеннических СМС по данным Федеральной торговой комиссии США. В 2025 году к нему добавился повод про таможенный сбор: заказ якобы задержан, пока сбор не оплачен. Многие пострадавшие рассказывали, что заплатили небольшую сумму за повторную доставку и так отдали реквизиты карты.
Та же комиссия отмечает: в четырёх обращениях об имперсонации из пяти денежной потери не было вовсе. Попыток намного больше, чем удачных списаний, и большинство обрывается там, где человек отказывается назвать код подтверждения. Британская отраслевая статистика за 2025 год насчитала свыше четырёх миллионов подтверждённых случаев мошенничества, из них 3,81 миллиона без согласия держателя.
Отдельная ветка опирается на физические носители. Федеральная торговая комиссия предупреждала о наклейках с поддельным QR-кодом на паркоматах ещё в декабре 2023 года, а в июне 2025 года Нью-Йорк выпустил своё предупреждение после случая с наклейкой на паркомате ParkNYC. Человек, который твёрдо знает, что означают CVV, 3-D Secure и холд, ловит подмену по одной детали: настоящая покупка заканчивается подтверждением в приложении банка.
Слова из карточной выписки и их точный смысл
Термин
Где встречается
Что означает на практике
CVV или CVC
Оборот карты, форма оплаты
Три цифры, подтверждающие владение картой при вводе
3-D Secure
Экран банка после ввода реквизитов
Подтверждение согласия держателя на конкретную сумму
Авторизация
Статус операции в приложении
Проверка карты и резерв суммы без фактического списания
Холд
Строка с пометкой об ожидании
Заблокированная сумма, доступный остаток уменьшен
Расчёт
Итоговая строка выписки
Списание по финальной сумме, присланной магазином
Дескриптор
Название продавца в строке
Поле магазина, которое часто расходится с вывеской
MCC
Подробности операции
Код категории точки, влияет на кэшбэк, лимиты и запреты
Вопросы и ответы
Простыми словами: что означают CVV, 3-D Secure и холд?
CVV это три цифры с оборота карты, подтверждающие, что человек держит пластик в руках. 3-D Secure это проверка банка, которой держатель подтверждает конкретную сумму. Холд это временно заблокированная сумма, уже недоступная для трат, но ещё не ушедшая со счёта.
Почему сумма списалась, а потом вернулась на карту?
Чаще всего исчезла авторизация: магазин не прислал финансовое подтверждение, и резерв истёк по правилам платёжной системы. Если операция успела стать проведённой, деньги придут отдельной строкой возврата через несколько дней.
Сколько времени держится холд по карте?
Срок зависит от типа операции и правил платёжной системы, обычно он укладывается в промежуток от нескольких дней до месяца. Отели, каршеринг и заправки резервируют суммы дольше обычных магазинов, потому что финальная сумма у них известна только в конце.
Можно ли диктовать CVV сотруднику банка по телефону?
Банку три цифры с оборота не нужны, он рассчитывает их сам и видит операции без них. Любая просьба назвать этот код или код из сообщения звучит одинаково во всех схемах и означает попытку провести чужой платёж.
Что делать, если в выписке незнакомое название магазина?
Сначала сверьте сумму и дату со своими покупками, затем вбейте дескриптор в поиск целиком вместе с городом. Если совпадений с вашими действиями нет, посмотрите категорию операции и позвоните в банк, пока строка ещё числится ожидающей.
Зачем нужен код подтверждения, если реквизиты карты уже введены?
Реквизиты подтверждают только владение картой, а согласие на конкретную сумму даёт отдельный шаг проверки. При подтверждённой операции ответственность за спорный платёж переходит на банк, выпустивший карту, поэтому именно этот код и пытаются выманить.
Автор: Илья Завьялов, консультант по цифровой безопасности. Все термины словаря
