Card Code Verification, будь он не ладен

Итак, тема: как житель России (любой страны СНГ) может приобрести тот или иной товар в американском сетевом магазине? Вопрос весьма не праздный и предельно практичный, поскольку:

есть огромное количество даже не товаров, а категорий товаров, которые в отечественных магазинах найти либо совершенно невозможно, либо можно только в столице и за чудовищные деньги. Перечислять не буду, потому что любой читатель, который когда-либо интересовался каким-нибудь высокотехнологичным гаджетом или раритетным товаром не массового спроса, проводил сравнение цен и безусловно поразился уникальной ценовой привлекательностью американского рынка;

почти все товары японских производителей, относящиеся к бытовой технике, фото, видео и домашним информационным технологиям, стоят на территории Соединенных Штатов на 40–70% дешевле по сравнению не только с Россией (Украиной, Молдавией и т. п.), но и Западной Европой. Общим, кстати, правилом европейского ценообразования выступает негласный и повсеместно принятый обменный курс 1 доллар = 1 евро. Значит, любой ноутбук, будь он американского (Dell, HP) или азиатского (Sony, Toshiba, Lenovo) производства, стоящий в США 1 200 долларов, будет продаваться в Англии, Франции или Германии по 1 200 евро, и так далее

общий уровень цен в американских онлайн-магазинах, даже с учетом расходов на доставку и уплаты налоговой либо таможенной пошлины, позволяет в большинстве случаев совершить покупку все-таки более выгодную, чем при посещении обычного отечественного магазина.

Все эти обстоятельства хорошо известны, и автор не открывает Америки. Многие читатели годами регулярно делали покупки в американских магазинах и радовались этой возможности. Моей излюбленной вотчиной с конца 90-х годов был и оставался до недавнего времени Amazon.com, на котором я удовлетворял 99% всех личных потребностей в лицензионной музыке и литературной продукции.

Сегодня ситуация кардинально переменилась, и привычный способ покупки стал практически невозможным. В чем смысл случившихся изменений, чем они вызваны и где выход из тупиковой ситуации — таковы основные темы нашей истории.

В эпоху зарождения торговых отношений в Интернете (вторая половина 90-х) общее настроение покупателей и продавцов передавалось светлым словом — эйфория. Ваш покорный слуга в 1997–1999 годах как раз занимался в Соединенных Штатах организацией онлайн-продаж своего первого мультимедийного учебного курса по интернет-трейдингу — TeachPro Internet Trading, — поэтому знает об атмосфере всеобщего доверия и счастья «купи-продай» в виртуальном магазине не понаслышке.

Ключ к успеху онлайн-торговца назывался merchant account — «счет продавца». Открытие его в банке хоть и стоило немалых денег (от 500 до 1 500 долларов в зависимости от пакета банковских услуг), однако безоговорочно оправдывало себя, поскольку счет предоставлял сетевому продавцу максимальную степень свободы и полный контроль над ситуацией. «Счет продавца» позволял сетевому торговцу самостоятельно получать платежи от покупателей, сделанные кредитными и дебетовыми банковскими картами.

Парадоксально, но сегодня в ситуации со «счетом продавца» ровным счетом ничего не изменилось: это по-прежнему идеальная форма акцепта платежей в онлайн-магазине, ведь при работе через merchant account между продавцом и покупателем нет посредников (кроме самого банка, разумеется). Собственно, все серьезные онлайн- магазины продолжают использовать merchant account в той или иной форме: от простого частного договора с банком (в маленьких виртуальных магазинчиках) до работы через полноценные финансовые инфраструктуры (Amazon.com).

Эйфория золотого века виртуальной торговли развеялась быстро: уже в начале 2000 года стало очевидно, что merchant account не устраивает большую часть публики. Торговцам не нравились высокие setup-up fees и ежемесячная стоимость услуги, а покупателям — парадокс! — как раз отсутствие посредников между ними и неведомыми продавцами. В самом деле: Интернет — штука виртуальная, кто там сидит на другом конце терминала, сколько он снимает денег с вашей кредитной карточки, вышлет ли товар после акцепта платежа, — поди разбери! С банком напрямую гораздо надежнее. Либо с кем-то, кто возьмет на себя головную боль по устранению недоразумений, возникающих при каждой второй виртуальной сделке (задержки с отправкой товара, несоответствие товара заявке и т. п.).

Все эти проблемы merchant account привели к тому, что им на смену пришли посреднические платежные системы, самой известной из которых стал пресловутый PayPal. Конторы подобного типа сами финансовыми организациями не являлись, однако завязывали всю цепочку «купи-расплатись-продай» на себя, то есть теоретически должны были качественно облегчить жизнь как продавцам, так и покупателям.

На практике же теория оказалась полной иллюзией, и проблемы, которые насоздавали посреднические платежные системы, затмили самые мрачные проявления беспредела, зафиксированные в золотую эпоху merchant accounts. О «виртуальной лавке ужасов» PayPal я писал несчетное число раз, поэтому не буду повторяться2 и сразу перейду к сегодняшнему состоянию онлайн-коммерции.

До недавнего времени в американском Интернете были представлены вполне демократичным образом все три схемы товарно-денежных отношений между покупателями и продавцами: магазины с классическими merchant accounts, магазины, работающие через PayPal, и магазины с собственными финансовыми инфраструктурами. Как правило, на одной и той же торговой площадке покупателям предоставляется возможность прибегнуть к любой из схем по вкусу и на выбор.

Так было до недавнего времени (вплоть до 2009 года), но затем случилось нечто, что разом уничтожило комфорт и универсальность шопинга на американских сайтах. Чтобы в воображении читателя не создалась совсем уж апокалиптическая картина, скажу: если очень постараться, то можно и сегодня обнаружить нормальные магазины в США, которые взаимодействуют с покупателями из-за океана на вполне цивилизованном уровне.

Живой пример: www.goinggear. com — магазин, который продает всякую «турпоходную» всячину — от одежды до палаток, ножей, пил, спальных мешков и фонарей. Последнюю незамысловатость — в частности, стратегический фонарь Olight M30 Triton CREE MC-E 700 Lumen LED Flashlight — я покупал в GoingGear не далее чем пару недель назад. Оплата картой, эмитированной московским банком «Авангард», мгновенный акцепт платежа, подтверждение через 10 минут по электронной почте, формирование посылки через United States Postal Service (USPS) с ускоренной международной доставкой (8 дней, 40 долларов) — утром следующего дня, отправка с предоставлением покупателю tracking number для самостоятельного отслеживания статуса почтового отправления — утром третьего дня.

Показательно, что оплату я производил из Молдавии по карте, эмитированной в России. Доставку тоже заказывал не в место получения банковских уведомлений (московский адрес), а в другую страну — ту же Молдавию. Показательно, поскольку расхождение того, что называется banking address с т. н. shipping address, адресом доставки, считается в мире карточных платежей alert trigger — сигналом, может, еще и не подозрительным, но уже тревожным.

Тем не менее, продавца GoingGear по имени Маршалл причуды клиента то ли из страшной Russia, то ли из безнадежно неведомой Moldova нисколько не взволновали: он безупречно выполнил все свои обязательства, впрочем, как и я — свои, покупательские. Тому объяснение — обширный опыт международной торговли GoingGear, а также движок Zen Cart, установленный на сайте магазина и обрабатывающий транзакции единственно верным способом (каким — скоро узнаете).

К величайшему сожалению, история с GoingGear для сегодняшней Америки не столько уникальна, сколько просто фантастична. Дабы не прослыть голословным, все последующие рекомендации буду выводить не из теоретических умозаключений, а из чистого опыта: одновременно с покупкой Olight M30 я озаботился приобретением профессионального цифрового рекордера Olympus LS-10. На поиск приемлемых вариантов покупки, выполнение всех сопутствующих условий и общение с десятками продавцов и банков у меня ушло — поверите ли? — восемь дней! Весь этот пережитый ужас, фрустрация и — главное! — полнейшее отсутствие хеппи-энда компенсируется лишь обретенным опытом, коим и спешу поделиться с читателями.

Обращение к американским онлайн-магазинам в случае с Olympus LS-10 было в моем случае и оправданно, и неизбежно: в Молдавии этот диктофон нельзя найти в принципе, на Украине он стоит 450 долларов, в Москве — 400. Привожу самые низкие цены, какие только возможны, когда связываешься напрямую с фирмами-поставщиками. В рознице цены выше еще на 20–40%.

Стоимость Olympus LS-10 в американских онлайн-магазинах — от 215 до 250 долларов. С учетом доставки (минус 25–90 долларов в зависимости от срочности), а также отсутствия таможенных и налоговых пошлин при получении почтовых отправлений в Молдавии на сумму менее 200 евро (в России, кстати, цифра сопоставима — менее 300 долларов), по-любому выходит на 25% дешевле, чем при покупке на постсоветских весях.

Разумеется, я проверил и европейские магазины. В соседней Румынии цены на диктофон были хорошо за 450 долларов, а лучшее, что удалось обнаружить в Германии и Франции, составило 299… вот только не долларов, а евро — цена, на фоне которой негласная схема «1 доллар = 1 евро» показалась даже привлекательной.

К первому подводному камню, поджидающему неамериканских покупателей в американских онлайн-магазинах, я был готов заранее: товары бытовой электроники японского производства (Sony, Toshiba, Olympus и т. д.) принципиально не высылаются по почте за пределы Соединенных Штатов. Дело не в каком-то злом умысле, а в банальных ограничениях по гарантийным обязательствам. Известный путь для обхождения этих ограничений — получить «собственный американский адрес» в одной из многочисленных контор, предоставляющих эту популярную услугу.

Первый же кандидат — MyUS.com — с ходу оправдал возложенные надежды. После рутинной проверки личности и принадлежности банковской карты — нужно переслать по электронной почте копию паспорта и страничку из банковской выписки — мне присвоили полноценный почтовый адрес во Флориде (город Брадентон). Полноценный, потому как в адресной строке указывается номер квартиры. Дело в том, что многие сетевые магазины отказываются отправлять почту не только за пределы США, но и на P.O. Box, то есть в почтовый ящик.

Американский адрес MyUS.com хоть и выглядит натурально, однако, конечно же, по сути является чистой виртуальностью, потому что никакой квартиры не существует в природе. Ваша посылка прибывает в единый центр MyUS.com, а номер квартиры служит всего лишь для идентификации клиента и последующего транзита в место за пределами США, которое вы указываете при регистрации. Как бы там ни было, первый шаг к диктофону был сделан. Следующий этап — выбор подходящего продавца.

Забегая вперед, скажу, что я попытался купить Olympus LS-10 в 27 магазинах (!) и всюду потерпел неудачу. Начал, разумеется, с лучшей цены, которая оказалась в легендарном «Амазоне» (amazon.com). Именно в нем диктофон стоил 216 долларов.

Отправляю товар в виртуальную корзину, прохожу к виртуальной кассе (процедура checkout), расплачиваюсь кредитной картой, которая зарегистрирована в amazon.com уже много лет, и… ничего! Мой московский банк отказал в платеже! Странно, конечно, — последние десять лет такого ни разу не случалось. Не далее как прошлой осенью заказывал в «Амазоне» четыре книги и один диск DVD, платеж прекрасно сработал, и посылку доставили прямиком ко мне на черноморскую фазенду.

Ну что ж — бывает. Добавляю еще один номер карты к своему аккаунту в «Амазоне», платеж — снова отказ! Добавляю третью карту… четвертую… пятую… всё, больше карт нет. Результат один и тот же — все банки раз за разом отвергли мои платежи.

Звоню в первый банк: «В чем дело?» «При проведении транзакции ваш продавец не указывает номер CVV2!». Звоню во второй, в третий — всюду одно и то же. Пишу письмо в «Амазон»: «Почему не указываете?» Ответ: «Потому что это не предусмотрено нашими платежными терминалами!»

Как же так? А вот так вот просто: в России, как и во всей Европе, проверка кода CVV2 является обязательной при проведении транзакции без физического присутствия клиента (онлайн-платеж — основная ситуация подобного рода). Терминал Zen Cart, установленный в GoingGear, умеет запрашивать CVV2, а вот терминал «Амазон» не умеет. Код безопасности просто некуда вводить в формуляре, который мы заполняем при покупке.

Не буду утомлять читателя одинаковыми примерами: код CVV2 не запрашивается в 99% американских онлайн-магазинов. Почему так? Потому что внутри Соединенных Штатов проверка CVV2 по-прежнему не является обязательной. Год назад платежи, сделанные картами, эмитированными за пределами США, прекрасно срабатывали, а после введения в Европе и России обязательной проверки CVV2 срабатывать перестали.

Что делать? Отправляюсь на поиски альтернативных форм платежа. На eBay замечательные цены на Olympus LS-10 (как и на тысячи тысяч других товаров), однако с оплатой тоже ничего не получается: PayPal’ом я не пользуюсь принципиально (после прочтения моих историй об этом монстре поймете, почему), а карточки на eBay принимаются только те, что эмитированы американскими банками.

Во всех остальных американских магазинах повторяется история eBay и «Амазона»: либо не принимаются неамериканские карты, либо оплата только чеком или только банковским переводом. Последние два варианта меня просто потрясли. Отказ от приема банковских карт вообще, а также PayPal для американского бизнеса выглядит чистейшим самоубийством: 100% транзакций онлайн выполняются именно через эти платежные каналы. Американцы, конечно, любят чеки, но только в «риал лайфе», а банковский перевод (wire) — нонсенс из арсенала российского бизнеса.

В одном из очередных магазинов натыкаюсь на ранее не известную опцию — новейший сервис от Google под названием Checkout. После того как предложение расплатиться за товар через Google Checkout попадается во второй и третий раз, проникаюсь верой и открываю аккаунт в системе поискового гиганта. При регистрации банковской карточки появляется запрос CVV2 — ну, слава богу! Регистрация проходит очень быстро и демократично — без всяких проверок банковского адреса и копий паспортов: имя, фамилия, адрес, электронная почта, телефон, банковская карта, эмитированная кем угодно, CVV2 — всё!

Тут же в интерфейсе Google Checkout приводится обширнейший список продавцов, поддерживающих новую революционную систему оплаты. Захожу на рекомендованные сайты и нахожу десятки предложений с моим вожделенным диктофоном. Размещаю заказ — транзакция проходит как по маслу! Google сообщает об успешном платеже и выдает при этом странное заявление: «Снятие денег с вашего счета и доставка будет производиться магазином, в котором вы приобрели товар».

Но какое отношение продавец имеет к процедуре снятия денег? Для чего тогда нужен сам Google Checkout? Ну да ладно: поживем — увидим. Жить пришлось недолго: через 30 минут пришло сообщение — банк отклонил платеж! Повторяю в другом магазине — то же самое, в третьем — дежавю!

Звоню в банк — причина стара, как мир: нет кода CVV2. Но ведь Google Checkout знает мой код — я его указывал при регистрации карты! Пишу письмо продавцу: «Почему не указываете код?» Ответ: «Мы даже номера вашей карточки не знаем! Все делает Google!» Ну разумеется: на то он и Checkout.

Запускаю расследование, которое длится пять дней. В конце концов выясняется, что Google Checkout запрашивает у клиентов код CVV2 только в момент регистрации карты в системе для того, чтобы удостовериться: карта не украдена. Затем CVV2 удаляется из системы и все платежные транзакции проводятся по американской старинке — без всяких кодов безопасности!

Самое грустное, что и Google Checkout винить не приходится: хранение CVV2 на сетевом сервере — форменное преступление против безопасности клиента! Представляете, если эту информацию получат хакеры? Не только номер карты, срок годности и имя на пластике, но и последнюю защиту — код проверки безопасности! Наступит полный финансовый апокалипсис.

Получается замкнутый круг? Еще какой! Особенно с учетом того, что американцы не только не ввели обязательную проверку CVV2, но и вряд ли введут ее в обозримом будущем. Почему? Потому что американские банки заинтересованы в упрощении онлайн-транзакций с картами, а не в их усложнении! Я понимаю, что это звучит парадоксально, но у парадокса есть целый ряд объяснений.

Причина № 1: местные (американские) торговые отношения основаны на традиции максимально упрощенных форм платежа. Чего стоит одна только оплата чеком, при которой поле для воровства по обширности не идет ни в какое сравнение со всеми электронными транзакциями вместе взятыми! Ну не будут американцы крутить карточки в поиске CVV2, а если и будут, то начнут ошибаться в каждом втором случае. Платежи будут блокироваться, покупатели — выходить из себя и жаловаться. Ладно бы только жаловаться — начнут гадить банкам по-черному, судиться.

Банкам это нужно? Да себе же дороже, тем более что существует еще и Причина № 2: все электронные транзакции застрахованы! Да хоть бы все хакеры на свете украли все имеющиеся в наличии номера кредиток и расплатились бы ими в онлайн-магазинах! Пусть крадут себе на здоровье — банки все равно за это не платят, потому что платят страховые компании.

Для последних тоже есть утешение. Оно же — Причина № 3: вычисление хакера, проживающего в США и оплатившего товар в интернет-магазине краденой банковской картой, занимает минуты три-четыре, никак не более. Еще столько же — отправка патрульной машины прямо к дому сорванца.

Посему гораздо проще и экономически целесообразнее запретить к приему карты, эмитированные иностранными банками (ищи потом жуликов по трущобам Мумбая или Мухосранска!), а не вводить проверку CVV2. А значит — в ближайшее время покупать в американских магазинах смогут лишь немногие счастливчики, обладающие американскими банковскими картами, да дотошные неутомимые романтики, готовые потратить выходные на поиск вменяемых продавцов вроде моего GoingGear!