3D Secure

3D Secure är det extra steg som läggs till ett kortköp på nätet för att bevisa att det är kortets rättmätige innehavare som betalar. I Sverige sker det oftast genom att du signerar med BankID, i andra länder med en engångskod eller en bekräftelse i bankens app.

Namnet syftar på de tre parter, eller domäner, som är inblandade: butiken med sin bank, kortutgivaren med sin kund, och kortnätverket som binder ihop de två. Butiken ser aldrig hur du legitimerar dig — den frågan ställs av din bank, och butiken får bara svaret godkänt eller nekat. Kortutgivarna marknadsför funktionen under egna namn, som Verified by Visa och Mastercard Identity Check, men tekniken bakom är densamma.

Steget är inte frivilligt utan bygger på EU:s krav på stark kundautentisering, i svensk rätt genomfört i lagen (2010:751) om betaltjänster med tekniska krav i kommissionens delegerade förordning (EU) 2018/389. Kravet innebär att din identitet ska bekräftas med minst två av tre oberoende faktorer:

• Något du vet — en kod, ett lösenord eller en pinkod.
• Något du har — telefonen, kortet eller en kortläsare.
• Något du är — fingeravtryck eller ansiktsigenkänning.

Faktorerna ska vara oberoende, så att den som kommit över den ena inte automatiskt har den andra. Ett BankID på en enhet du låst upp med fingeravtryck uppfyller kravet: telefonen är något du har, upplåsningen något du är eller vet.

1. Du fyller i kortuppgifterna i kassan och godkänner köpet.
2. Butikens system frågar kortnätverket, som skickar frågan vidare till den bank som gett ut ditt kort.
3. Banken bedömer risken i transaktionen och begär vid behov att du legitimerar dig, i Sverige normalt med BankID.
4. Du signerar, och banken svarar butiken att autentiseringen är godkänd.
5. Köpet genomförs och beloppet reserveras eller dras.

Ibland kommer ingen signering fram alls. Regelverket innehåller undantag: mycket små belopp, återkommande betalningar med samma belopp till samma mottagare, mottagare du själv lagt upp som betrodda, och transaktioner som bankens riskanalys bedömer som ofarliga. Undantagen är begränsade i belopp och antal, och när gränsen passeras kommer signeringen tillbaka. Det är förklaringen till att du plötsligt får legitimera dig för ett köp som du gjort många gånger utan.

3D Secure löser ett avgränsat problem: att någon som kommit över ditt kortnummer ska kunna handla i ditt namn. Utan steget räcker sexton siffror, ett utgångsdatum och en kod på baksidan. Med steget krävs dessutom din telefon och din legitimation.

Det innebär samtidigt att signeringen har blivit bedrägeriets huvudmål. En stor del av dagens kortbedrägerier bygger på att någon förmår dig att signera själv, ofta med en berättelse om att du behöver bekräfta din identitet, stoppa ett köp eller flytta pengar till ett säkert konto. Signerar du på uppmaning har du autentiserat transaktionen, och den bedöms därefter.

Steget påverkar inte din rätt att reklamera ett köp. Att transaktionen är autentiserad betyder att det var du som betalade, inte att du fick det du betalade för. Levereras inget kan ärendet fortfarande prövas som en tvist med säljaren, se chargeback.

• Att 3D Secure betyder att butiken är seriös. Steget bevisar vem som betalar, inte vem som tar emot pengarna. En bluffbutik kan använda 3D Secure precis som alla andra.
• Att ett autentiserat köp aldrig går att reklamera. Autentiseringen gäller identiteten. Utebliven leverans eller fel vara prövas som en tvist med säljaren, oberoende av hur du legitimerade dig.
• Att butiken ser din kod eller ditt BankID. Frågan ställs av din bank. Butiken får bara svaret godkänt eller nekat.
• Att en signering kan stoppa en transaktion. Den godkänner alltid. Uppmaningar om att signera för att avbryta något är ett bedrägeriupplägg.
• Att avsaknaden av signering betyder att något är fel. Regelverket har undantag för små belopp, återkommande betalningar och betrodda mottagare. Att steget uteblir är oftast helt normalt.