Operator płatności przyznał, że w trakcie spornych transakcji nie zastosował zabezpieczenia w postaci systemu 3DS. Zastąpił je analizą ryzyka
Z informacji przekazanych serwisowi cashless.pl przez użytkowników usługi IdoSell, bohaterów artykułu sprzed kilku dni, wynika, że jej dostawca zdecydował się rozwiązać z nimi konflikt polubownie. To oznacza, że firma zwróci pieniądze właścicielom sklepów internetowych, które wcześniej zablokowała na ich kontach tytułem pokrycia kosztów reklamacji typu chargeback, złożonych przez płacących kartami.
Przypomnę, że co najmniej kilka sklepów internetowych, które korzystają z platformy IdoSell oraz płatności IdoPay, dostarczanych przez szczecińską spółkę IAI, czuło się przez nią oszukanych. Według ich relacji zrealizowali zamówienia klientów, którzy płacili kartami bankowymi. Następnie jednak banki – wydawcy tych kart, otrzymały reklamacje użytkowników plastików, którzy twierdzili, że tych płatności nie zrealizowali. Reklamacje zostały uznane i banki żądały zwrotu pieniędzy od IAI, a ta – od sklepów internetowych, które płatności przyjęły.
Jak się jednak okazało, wszystkie zakwestionowane transakcje zostały przeprowadzone bez potwierdzenia przy pomocy systemu 3D Secure. To rozwiązanie, które wymusza na użytkowniku karty autoryzację płatności np. za pomocą kodu z wiadomości SMS, podobnie jak potwierdza się przelew zlecany przez bankowość internetową.
Tymczasem przepisy prawa wymagają, aby transakcje zdalne autoryzowane były przy pomocy tzw. silnego uwierzytelnienia, a więc co najmniej dwiema różnymi metodami (np. kodem zabezpieczającym z plastiku i systemem 3DS). Tylko w wyjątkowych sytuacjach od tego można odstąpić, ale wówczas banki zwykle uznają ewentualne reklamacje takich transakcji, a ich koszty muszą wziąć na siebie sklepy. Problem w tym, że bohaterowie artykułu sprzed kilku dni twierdzą, że nie zgodzili się na obciążanie takim ryzykiem, a nawet żądali uruchomienia systemu 3DS, ale im tego odmówiono.
W korespondencji do klientów skarżących się na praktyki IAI, spółka deklaruje, że wszystkie transakcje zabezpieczała zgodnie z przepisami o silnym uwierzytelnieniu. Odstąpiła jednak od stosowania systemu 3DS, zastępując to rozwiązanie analizą potencjalnego ryzyka, a koszty ewentualnych fraudów przeniosła na właścicieli sklepów. Wygląda na to, że tym razem analiza ryzyka nie była skuteczna.
