3D Secure: näin korttimaksun vahvistus suojaa ostoksesi

Kun maksat kortilla verkossa, saatat huomata, että kauppa ohjaa sinut hetkeksi pankkisi sivulle vahvistamaan ostoksen pankkitunnuksilla, mobiilisovelluksella tai koodilla. Juuri tätä tekniikkaa kutsutaan nimellä 3D Secure. Se on maailmanlaajuinen turvastandardi, jonka tarkoitus on varmistaa, että kortilla maksava henkilö on todella kortin oikea haltija eikä varastettujen korttitietojen käyttäjä. Tässä oppaassa käydään selkeästi läpi, mitä 3D Secure tarkoittaa, miten vahvistus käytännössä etenee, miksi sitä vaaditaan ja mitä teet, jos maksu ei mene läpi.

Mikä 3D Secure on?

3D Secure (lyhenne 3DS) on verkkomaksamisen todennusprotokolla eli tekninen pelisääntö, jolla kortinhaltijan henkilöllisyys varmistetaan verkko-oston yhteydessä. Nimi tulee sanoista Three-Domain Secure, ”kolmen osapuolen turva”. Nuo kolme osapuolta eli ”domainia” ovat:

• Kauppiaan osapuoli (acquirer): verkkokauppa ja sen pankki, joka vastaanottaa maksun.
• Kortinmyöntäjän osapuoli (issuer): sinun pankkisi, joka on myöntänyt kortin ja tuntee sinut asiakkaanaan.
• Yhdistävä osapuoli (interoperability): korttiverkko (esimerkiksi Visa tai Mastercard) ja sen tekninen infrastruktuuri, joka välittää viestit kahden edellisen välillä.

Kun nämä kolme osapuolta keskustelevat keskenään maksun aikana, pankkisi voi varmistaa, että juuri sinä hyväksyt ostoksen. Käytännössä 3D Secure näkyy sinulle siten, että maksun loppuvaiheessa sinua pyydetään vahvistamaan osto esimerkiksi pankin sovelluksessa tai pankkitunnuksilla. Tekniikka ei liity itse korttiin eikä sen siruun, vaan se toimii kortin numeron, pankin ja korttiverkon välisenä lisävarmistuksena verkossa.

Näin 3D Secure toimii maksutapahtumassa

Kun syötät kortin tiedot verkkokaupan maksusivulle ja hyväksyt maksun, taustalla käynnistyy sarja viestejä kauppiaan, korttiverkon ja pankkisi välillä. Pankkisi arvioi hetkessä, kuinka suuri riski maksuun liittyy: se tarkastelee muun muassa ostoksen summaa, kauppaa, laitetta, sijaintia ja aiempaa ostohistoriaasi. Arvion perusteella maksu etenee jompaakumpaa reittiä.

Frictionless-vahvistus eli automaattinen reitti

Jos pankki arvioi maksun vähäriskiseksi ja pystyy tunnistamaan sinut taustatietojen perusteella, maksu hyväksytään automaattisesti ilman, että sinun tarvitsee tehdä mitään. Tätä kutsutaan nimellä frictionless flow eli kitkaton vahvistus. Ostos menee läpi saumattomasti, mutta 3D Secure on silti ollut toiminnassa taustalla. Kitkaton reitti nopeuttaa maksamista ja vähentää keskeytyneitä ostoksia, koska vähäriskisiltä maksuilta ei kysytä turhaa tunnistautumista.

Challenge-vahvistus eli lisävarmistus

Jos pankki haluaa varmistua henkilöllisyydestäsi, se pyytää lisätunnistautumista. Tätä kutsutaan nimellä challenge flow eli haastereitti. Käytännössä sinut ohjataan vahvistamaan maksu jollakin seuraavista tavoista:

• hyväksymällä maksu pankkisi mobiilisovelluksessa sormenjäljellä, kasvoilla tai PIN-koodilla,
• kirjautumalla verkkopankkitunnuksilla,
• vahvistamalla Mobiilivarmenteella puhelimen PIN-koodilla,
• tai syöttämällä pankin lähettämä kertakäyttöinen koodi.

Vasta onnistuneen vahvistuksen jälkeen maksu hyväksytään. Haastereitti tulee tyypillisesti vastaan isoissa ostoksissa, uusissa kaupoissa, epätavallisissa tilanteissa tai silloin, kun laki vaatii vahvaa tunnistautumista. Lue lisää siitä, mitä vahva tunnistautuminen tarkoittaa ja milloin sitä tarvitaan.

3D Securen kehitys: versiosta 1 versioon 2

Visa otti ensimmäisen 3D Secure -version käyttöön vuonna 2001 nimellä Verified by Visa. Tuo alkuperäinen versio (3DS 1.0) perustui erilliseen salasanaan tai koodiin, jonka asiakas syötti ponnahdusikkunaan. Se oli aikanaan tärkeä edistysaskel, mutta kömpelö: salasanat unohtuivat, ikkunat eivät aina latautuneet ja moni ostos jäi kesken.

Vuodesta 2015 alkaen protokollan kehityksestä on vastannut EMVCo, joka on korttijättien (American Express, Discover, JCB, Mastercard, UnionPay ja Visa) yhteisesti omistama standardiorganisaatio. EMVCo julkaisi uudistetun EMV 3-D Secure 2 -version, joka korvasi vanhan salasanamallin älykkäällä riskianalyysillä ja sujuvammalla mobiilivahvistuksella. Käytännössä vanha 3DS 1.0 on jo poistunut käytöstä: Mastercard lopetti sen tuen loka­kuussa 2022 ja Visa pian perässä. Myös varhainen 2.1-versio on poistunut tuesta vuoden 2024 puolivälissä, joten nykyinen vähimmäisversio on 3DS 2.2. Uusin versio 2.3 tuo mukanaan muun muassa FIDO-pohjaisen selainvahvistuksen (Secure Payment Confirmation) ja laitteen sitomisen tiliin, mikä nopeuttaa tulevia ostoksia.

Korttiyhtiöiden tuotenimet

3D Secure on sama taustatekniikka, mutta jokainen korttiverkko markkinoi sitä omalla tuotenimellään. Tästä syystä saatat törmätä verkkokaupassa eri nimiin, vaikka kyse on samasta turvaprotokollasta. Korttien eroista voit lukea lisää oppaasta Visa vai Mastercard.

3D Secure ja PSD2 – miksi vahvistusta vaaditaan

3D Secure yleistyi erityisesti EU:n toisen maksupalveludirektiivin (PSD2) myötä. Direktiivi edellyttää niin kutsuttua vahvaa asiakkaan tunnistamista (SCA, Strong Customer Authentication) useimmissa verkkomaksuissa. Vaatimus astui Euroopassa voimaan vaiheittain ja on ollut täysimääräisesti käytössä vuodesta 2021 alkaen.

Vahva tunnistaminen tarkoittaa, että maksu pitää varmentaa vähintään kahdella toisistaan riippumattomalla tekijällä kolmesta ryhmästä:

• Jotain, minkä tiedät: esimerkiksi PIN-koodi tai salasana.
• Jotain, mitä sinulla on: esimerkiksi puhelin, pankin sovellus tai kortti.
• Jotain, mitä olet: biometrinen tunniste, kuten sormenjälki tai kasvot.

3D Secure on juuri se tekninen väline, jolla tämä lakisääteinen vahvistus toteutetaan korttimaksuissa. Pelkät kortille painetut tiedot – kortin numero, voimassaoloaika ja takana oleva CVC-koodi – eivät enää riitä, koska ne on helppo kopioida.

Milloin vahvistusta ei kysytä

Laki sallii joitakin poikkeuksia, joissa erillistä vahvistusta ei vaadita. Tällöin maksu voi mennä läpi ilman challenge-vaihetta. Yleisimmät poikkeukset ovat:

• Pienet verkko-ostokset: alle 30 euron etämaksuissa vahvistusta ei välttämättä kysytä, kunnes vahvistamattomia ostoksia on kertynyt yhteensä 100 euroa tai viisi peräkkäistä maksua.
• Lähimaksut kaupassa: alle 50 euron lähimaksut ilman PIN-koodia, kunnes raja 150 euroa tai viisi tapahtumaa täyttyy.
• Vähäriskiset maksut: maksunvälittäjä voi jättää vahvistuksen pois, jos sen oma petosvalvonta arvioi maksun erittäin turvalliseksi (ns. transaktioriskianalyysi).
• Luotetut saajat ja toistuvat maksut: samansuuruiset tilauspohjaiset veloitukset ja listalle hyväksytyt luotetut kauppiaat.

Lopullinen päätös poikkeuksesta on kuitenkin aina pankillasi. Vaikka kauppa pyytäisi maksua ilman vahvistusta, pankkisi voi silti vaatia challenge-vahvistuksen, jos jokin tekijä herättää epäilyn.

Näin vahvistat maksun Suomessa

Suomessa korttimaksun 3D Secure -vahvistus tehdään käytännössä samoilla välineillä kuin verkkopankkiin kirjautuminen. Yleisimmät tavat ovat:

• Pankin mobiilisovellus: saat sovellukseen ilmoituksen ja hyväksyt maksun sormenjäljellä, kasvoilla tai sovelluksen omalla tunnusluvulla. Tämä on nopein ja turvallisin tapa.
• Verkkopankkitunnukset: kirjaudut käyttäjätunnuksella ja vahvistat maksun pankin ohjeiden mukaan.
• Mobiilivarmenne: operaattorin tarjoama sähköinen tunniste, jolla vahvistat maksun puhelimesi PIN-koodilla ilman erillistä sovellusta.

Ensimmäisellä kerralla sinun on yleensä otettava pankkisi vahvistusmenetelmä käyttöön, esimerkiksi aktivoitava mobiilisovellus tai Mobiilivarmenne. Kun se on tehty, 3D Secure -vahvistus sujuu jatkossa muutamassa sekunnissa. Käytännössä toimit näin tyypillisessä verkko-ostoksessa:

• syötät kortin tiedot verkkokaupan maksusivulle ja painat ”maksa”,
• kauppa ohjaa sinut hetkeksi pankkisi vahvistusnäkymään,
• hyväksyt maksun pankin sovelluksessa tai tunnuksilla,
• palaat automaattisesti kauppaan, jossa näet vahvistuksen onnistuneesta maksusta.

Jos käytät verkkolompakkoa, kuten PayPalia, tai puhelinmaksua, kuten Google Pay -lähimaksua, kortin vahvistus on usein hoidettu jo lompakkoa käyttöön otettaessa, jolloin erillistä 3D Secure -ikkunaa ei aina näytetä jokaisen oston kohdalla.

Digitaaliset lompakot, tokenisointi ja 3D Secure

3D Secure ei ole ainoa korttimaksamisen turvakerros. Digitaaliset lompakot, kuten Apple Pay ja Google Pay, käyttävät lisäksi tokenisointia. Tokenisoinnissa varsinaista kortin numeroa ei välitetä kauppiaalle lainkaan, vaan sen tilalle luodaan kertakäyttöinen tai laitekohtainen korvausnumero (token). Vaikka token vuotaisi, sillä ei voi tehdä muita ostoksia, ja todellinen korttinumerosi pysyy piilossa.

Kun lisäät kortin digitaaliseen lompakkoon, kortinhaltija vahvistetaan yleensä kerran vahvalla tunnistautumisella – usein juuri 3D Securen kautta. Tämän jälkeen itse ostokset vahvistetaan puhelimen sormenjäljellä tai kasvoilla, mikä täyttää vahvan tunnistautumisen vaatimuksen laitetasolla. 3D Secure ja tokenisointi toimivat siis rinnakkain: edellinen varmistaa henkilöllisyyden ja jälkimmäinen suojaa itse korttinumeroa. Verkkolompakoiden ja korttimaksun eroista voit lukea tarkemmin muista maksutapaoppaistamme.

Vastuunsiirto: mitä 3D Secure tarkoittaa kauppiaalle ja ostajalle

Yksi tärkeimmistä syistä, miksi kaupat suosivat 3D Securea, on niin kutsuttu vastuunsiirto (liability shift). Kun maksu on vahvistettu 3D Securella, vastuu mahdollisesta petollisesta veloituksesta siirtyy pääsääntöisesti kauppiaalta kortinmyöntäjäpankille. Toisin sanoen, jos joku käyttää korttiasi luvatta mutta maksu on kulkenut vahvistuksen läpi, riita ratkotaan pankin kautta eikä kauppa jää automaattisesti tappiolle.

Ostajan näkökulmasta tämä on hyvä asia: vahvistettu maksu on paremmin suojattu väärinkäytöksiltä, ja jos korttiasi on käytetty luvatta ilman vahvistusta, sinulla on vahva peruste saada rahat takaisin pankiltasi. On kuitenkin hyvä tietää, että osa edellä mainituista poikkeuksista (kuten pienet summat tai vähäriskiset maksut) voi mennä läpi ilman vahvistusta, jolloin vastuunsiirto ei välttämättä toteudu samalla tavalla. Säilytä siksi aina kuitit ja seuraa tiliotettasi.

Turvallisuus ja yleiset ongelmatilanteet

3D Secure parantaa verkkomaksamisen turvallisuutta merkittävästi, mutta se ei poista kaikkia riskejä. Tärkein muistisääntö on, että aito 3D Secure -vahvistus tapahtuu aina oman pankkisi tutussa sovelluksessa tai verkkopankissa – ei koskaan sähköpostin linkin, tekstiviestin tai tuntemattoman sivuston kautta.

Huijarit yrittävät jäljitellä 3D Secure -näkymää tietojenkalastelussa. Ole erityisen varovainen, jos:

• sinua pyydetään vahvistamaan maksu, jota et ole itse tehnyt,
• sinua kehotetaan syöttämään pankkitunnukset sähköpostin tai viestin linkin kautta,
• vahvistuksessa pyydetään ”peruuttamaan” tai ”palauttamaan” maksu tunnuksillasi.

Jos pankin sovelluksen vahvistusviestin teksti ei vastaa summaa tai saajaa, älä hyväksy maksua. Oikeassa vahvistuksessa näet aina maksun summan ja saajan.

Jos maksu ei mene läpi

Yleisimmät syyt epäonnistuneeseen 3D Secure -maksuun ja niiden ratkaisut:

• Vahvistusmenetelmää ei ole otettu käyttöön: aktivoi pankkisi mobiilisovellus tai Mobiilivarmenne ennen ostosta.
• Vanhentuneet yhteystiedot: varmista, että pankilla on ajantasainen puhelinnumerosi, jotta vahvistusviesti tulee perille.
• Vahvistus aikakatkaistiin: hyväksy maksu riittävän nopeasti; jos ikkuna vanhenee, aloita maksu alusta.
• Kortti ei tue 3D Securea: osa ulkomaisista korteista tai prepaid-korteista ei tue vahvistusta – kysy tarvittaessa kortin myöntäjältä.

3D Secure kasinotalletuksissa ja verkko-ostoksissa

Korttimaksun vahvistus näkyy samalla tavalla kaikissa verkko-ostoksissa, myös talletuksissa nettikasinoilla ja vedonlyöntisivustoilla. Rahapelimaksuissa pankit soveltavat usein tiukempaa vahvistusta, ja monet suomalaiset pankit saattavat estää korttimaksut pelisivustoille kokonaan. Siksi osa pelaajista käyttää korttimaksun sijaan tilisiirtopohjaisia maksutapoja, kuten Trustlya, jolloin vahvistus hoituu suoraan verkkopankissa ilman erillistä korttia. Vastaava suora pankkivahvistus on taustalla myös nopeissa kotiutuksissa, joissa raha liikkuu pankkitunnistautumisen kautta.

Riippumatta siitä, maksatko kortilla vai tilisiirrolla, perusperiaate on sama: vahvistat maksun itse vahvalla tunnistautumisella, mikä suojaa sekä sinua että maksun saajaa väärinkäytöksiltä. 3D Secure on tästä kokonaisuudesta se osa, joka hoitaa korttimaksujen vahvistuksen.

3D Securen hyödyt ja rajoitukset

3D Secure on tänä päivänä vakiintunut osa verkkomaksamista, ja se hyödyttää sekä kuluttajaa että kauppiasta. On kuitenkin hyvä ymmärtää, mihin tekniikka pystyy ja mihin ei.

Hyödyt:

• vähentää merkittävästi varastetuilla korttitiedoilla tehtyjä petoksia,
• siirtää vastuun petollisesta veloituksesta pääsääntöisesti pankille,
• täyttää PSD2:n lakisääteisen vahvan tunnistautumisen vaatimuksen,
• kitkaton reitti tekee vähäriskisistä ostoksista nopeita ja vaivattomia.

Rajoitukset:

• ei suojaa tilanteissa, joissa hyväksyt itse huijarin maksun tietojenkalastelun seurauksena,
• kaikki kortit – esimerkiksi osa prepaid- ja ulkomaisista korteista – eivät tue vahvistusta,
• vahvistus edellyttää toimivaa puhelinta, sovellusta tai tunnuksia, mikä voi hankaloittaa ostosta matkoilla,
• poikkeukset voivat jättää osan pienistä maksuista vahvistamatta.

3D Secure sopii käytännössä kaikille verkossa kortilla maksaville: se toimii automaattisesti taustalla eikä vaadi erillistä rekisteröitymistä. Eniten siitä hyötyvät ne, jotka tekevät paljon verkko-ostoksia tai maksavat suurehkoja summia, sillä juuri näissä tilanteissa vahvistus ja vastuunsiirto suojaavat parhaiten.

Usein kysytyt kysymykset (UKK)

Onko 3D Secure pakollinen?

Useimmissa EU-alueen verkkomaksuissa vahva tunnistaminen on lakisääteistä, ja 3D Secure on yleisin tapa toteuttaa se korttimaksuissa. Kaikkia maksuja ei kuitenkaan vahvisteta erikseen: pienet ostokset ja vähäriskisiksi arvioidut maksut voivat mennä läpi ilman challenge-vaihetta. Lopullisen ratkaisun tekee pankkisi.

Maksaako 3D Secure mitään?

Ei. 3D Secure -vahvistus on kortinhaltijalle maksuton. Se sisältyy kortin ja verkkopankin normaaleihin ominaisuuksiin, eikä siitä veloiteta erillistä maksua.

Mitä teen, jos en saa vahvistusviestiä?

Tarkista, että pankkisi mobiilisovellus tai Mobiilivarmenne on otettu käyttöön ja että pankilla on ajantasainen puhelinnumerosi. Jos viesti ei edelleenkään tule, yritä maksua uudelleen tai ota yhteyttä pankkisi asiakaspalveluun. Älä koskaan vahvista maksua tuntemattoman linkin kautta.

Mitä eroa on 3D Securella ja vahvalla tunnistautumisella?

Vahva tunnistautuminen on lain vaatima periaate: henkilöllisyys varmistetaan vähintään kahdella eri tekijällä. 3D Secure on tekninen protokolla, jolla tämä periaate toteutetaan nimenomaan korttimaksuissa verkossa. 3D Secure on siis yksi tapa täyttää vahvan tunnistautumisen vaatimus.

Onko 3D Secure sama asia kuin Verified by Visa?

Verified by Visa on Visan vanha tuotenimi 3D Securelle. Nykyään Visan versio tunnetaan nimellä Visa Secure ja Mastercardin versio nimellä Mastercard Identity Check. Kaikki perustuvat samaan EMV 3-D Secure -protokollaan.