Данные корпоративной карты агентства: кто хранит реквизиты, CVV и коды 3-D Secure

Данные корпоративной карты в агентстве чаще всего утекают не из банка, а из общего чата и таблицы подписок: номер, срок действия и CVV лежат в одном сообщении, а код 3-D Secure пересылают коллеге со словами «подтверди за меня». Ущерб ограничен только лимитом карты: по страницам направлений на 28 октября 2026 года онлайн-лимит в день составляет 3 000 долларов у Армении Standard (241 592 рубля по курсу ЦБ на 28 октября 2026 года, доллар 80,5307), 10 000 долларов у Таджикистана (805 307 рублей) и 15 000 долларов у Киргизии Gold (1 207 961 рубль). Ниже разбор для руководителя и бухгалтера: кто должен видеть какие данные, где их хранить, как платить без передачи реквизитов и что делать, если данные ушли. Если агентству нужна отдельная карта для оплаты зарубежных сервисов под рабочие подписки, лимиты и сроки по странам указаны в каталоге.

Данные корпоративной карты: что считается секретом, а что нет

Не все данные карты одинаково опасны. Для агентства удобно разделить их на три группы.

1. Можно показывать бухгалтерии. Последние четыре цифры, название банка, валюта, держатель, срок действия. По ним сверяют выписки и закрывают подотчет.
2. Знают только держатель и администратор. Полный номер карты и срок. Номер нужен, чтобы привязать карту к сервису один раз.
3. Не знает никто, кроме держателя. CVV на обороте, PIN и одноразовые коды из SMS и приложения банка. Их не вносят в таблицы и чаты и не передают коллегам.

Стандарт безопасности платежных карт PCI DSS прямо запрещает хранить код CVV после авторизации платежа, даже в зашифрованном виде. Стандарт написан для тех, кто принимает платежи, но логика полезна и агентству: код нужен в момент оплаты и больше нигде не должен лежать. Правила банков обычно идут дальше и просят не называть коды никому, включая сотрудников банка.

Как построить регламент вокруг карты в целом, мы разбирали в статье положение о корпоративной карте в агентстве.

Где в агентстве теряют данные карты

В практике агентств повторяются четыре сценария.

1. Номер в общем чате. Карту добавляют в корпоративный мессенджер, чтобы «любой мог оплатить». Чат читают подрядчики, стажеры и бывшие сотрудники, которые не вышли из канала.

2. Таблица подписок. В таблице рядом с названием сервиса лежат номер, срок и CVV, чтобы не искать. Доступ к таблице открыт по ссылке.

3. Пересланный код. Сотрудник пересылает код 3-D Secure коллеге в мессенджере, чтобы тот довел платеж. В коде нет суммы, но он подтверждает конкретную операцию.

4. Фото карты. Сотрудник присылает фото пластика с обеими сторонами в чат бухгалтерии для проверки.

Любой из четырех сценариев превращает карту в доступное всем средство платежа. После утечки данных злоумышленнику хватит номера и CVV, чтобы совершить покупку в сервисе, который не требует дополнительного подтверждения. Тема утечек данных у зарубежных платежных сервисов разбиралась в материале утечка данных платежного сервиса: уроки для бизнеса и бренда. Для владельцев карт тот же случай описан в статье утечка данных платежного сервиса: что делать владельцам карт.

Сколько стоит ошибка: лимит карты как потолок ущерба

Главная защита, которая работает без дисциплины сотрудников, это лимит. Он определяет, сколько можно потратить, если данные ушли. Берем онлайн-лимиты в сутки со страниц направлений на 28 октября 2026 года и пересчитываем по курсу ЦБ 80,5307:

1. Турция Standard — 100 000 лир в сутки, это 161 975 рублей по курсу 1,61975 рубля за лиру.
2. Армения Standard — 3 000 долларов в сутки, 241 592 рубля.
3. Таджикистан Gold — 10 000 долларов в сутки, 805 307 рублей.
4. Киргизия Gold — 15 000 долларов в сутки, 1 207 961 рубль.

Теперь сравните с реальным бюджетом. Агентство оплачивает 14 подписок на сумму 1 280 долларов в месяц, это 103 079 рублей. Лимит Таджикистана в 10 000 долларов в сутки равен почти восьми месяцам платежей за один день. Если карта нужна только под подписки, потолок в десять раз выше, чем нужно, и выгоднее выбирать направление с лимитом ближе к реальному расходу. Для Казахстана лимиты на странице не указаны, их нужно уточнять при заказе.

Банк, как правило, может снизить лимит по заявке держателя. Условия для каждой страны и тарифа свои, поэтому просите это письменно и фиксируйте ответ.

Кто и что делает с данными карты: распределение ролей

Простая схема из четырех ролей снимает большинство вопросов.

1. Держатель. Один человек, на которого оформлена карта. Хранит CVV и PIN в голове или в личном менеджере паролей, получает коды 3-D Secure. Платит сам или подтверждает платеж, когда его запрашивает администратор.
2. Администратор подписок. Отвечает за привязку карты к сервисам. Видит номер и срок, но не CVV. Не получает кодов.
3. Бухгалтерия. Видит выписки и подтверждающие документы. Реквизитов карты не получает.
4. Руководитель. Утверждает лимит и список сервисов. Реквизитов не хранит.

Если держатель и администратор — один человек, это допустимо только при небольшом бюджете. С ростом числа подписок нагрузку лучше разделить: так расход не остановится в отпуск держателя. Про этот сценарий мы писали в статье держатель корпоративной карты в отпуске.

Платить без передачи реквизитов: токены и разовые платежи

Если реквизиты нужны только в момент привязки, их можно не хранить вообще. Есть три способа.

1. Привязка карты один раз администратором. Сервис сохраняет карту и списывает автоматически. Дальше номер не нужен. Подходит для подписок.
2. Платеж через Apple Pay или Google Pay. На телефон держателя выпускается токен, а настоящий номер карты не передается продавцу. В каталоге есть фильтры по картам с поддержкой Apple Pay и Google Pay, а на странице Таджикистана описана карта Mastercard с оплатой смартфоном по всему миру.
3. Разовый платеж с подтверждением. Для редких оплат держатель платит сам, а бухгалтерия получает чек.

В карточках каталога есть строка про SIM: у Казахстана указана казахская SIM, у направлений Таджикистана, Киргизии и Армении российская. Что она означает для кодов, уточните при заказе, в том числе на чей телефон придут SMS, и убедитесь, что это личный номер держателя, а не общий.

Разбор по чекам: что произошло с лимитом и платежами

Чтобы увидеть, как это работает, возьмем три платежа за одну неделю, курс ЦБ на 28 октября 2026 года.

Платеж 1. Подписка на 90 долларов. Администратор привязал карту к сервису один раз, платеж ушел автоматически. 90 × 80,5307 = 7 248 рублей. CVV не понадобился, коды не пересылались.

Платеж 2. Рекламный кабинет на 1 500 долларов. Сервис запросил код 3-D Secure. Держатель получил SMS, подтвердил платеж сам и отправил бухгалтерии чек. 1 500 × 80,5307 = 120 796 рублей.

Платеж 3. Неожиданное списание 480 долларов. Бухгалтер увидел в выписке операцию, которую никто не помнит. 480 × 80,5307 = 38 655 рублей. Проверить, чей это платеж, можно по названию продавца в выписке. Если никто не узнал, карту блокируют в тот же день.

Итого за неделю 2 070 долларов, или 166 699 рублей. Лимит в 3 000 долларов в сутки у Армении Standard перекрывает любую из операций, но не защитит от нескольких мелких списаний подряд. Поэтому проверка выписки раз в неделю обязательна. О том, как такая проверка встраивается в регламент оплат, есть разбор в материале регламент оплаты зарубежных сервисов: кейс агентства на 20 подписок.

Что делать, если данные карты ушли

Время играет роль, поэтому порядок действий фиксируют заранее.

1. Заблокировать карту. Через приложение банка или по телефону. Телефон банка нужно записать до того, как он понадобится.

2. Сообщить руководителю и бухгалтерии. В тот же час, а не вечером.

3. Зафиксировать операции. Сделать выписку и отметить платежи, которые никто не совершал.

4. Написать в банк о спорных операциях. Условия и сроки возврата определяются договором с банком и законом страны банка. Для российских банков действует статья 9 закона № 161-ФЗ о национальной платежной системе, для зарубежных банков она не работает, и решает договор с банком.

5. Перевыпустить карту и перепривязать подписки. Новая карта в каталоге стоит от 14 990 до 36 990 рублей в зависимости от страны, а перепривязку подписок администратор делает сам.

6. Закрыть причину. Удалить данные из чата и таблицы, проверить, кто имел доступ.

Если банк просит документы и ограничивает операции, причины и порядок описаны в материале про отказы платежей зарубежной картой. Как ведут себя банки при блокировке по подозрительным переводам, мы разбирали в статье карту заблокировали из-за переводов.

Как отразить правила в регламенте агентства

Правила работают, когда записаны. В регламент по карте добавляют пять пунктов:

1. перечень данных, которые нельзя хранить в чатах и таблицах;
2. запрет пересылать коды 3-D Secure и SMS;
3. лимит по карте и порядок его изменения;
4. срок проверки выписки: раз в неделю для карты с подписками;
5. порядок действий при утечке, с телефонами банка и ответственным.

Регламент подписывает держатель, чтобы ответственность за коды была закреплена документально. Ответственность держателя за ошибку, взлом и курс мы разбирали в материале ответственность держателя корпоративной карты. Уведомление налоговой о счете за рубежом остается за компанией в любом случае, подробности в статье как отправить уведомление об открытии счета за рубежом.

Какая карта удобнее по безопасности

Сравнивать направления по безопасности удобно по трем признакам: лимит, срок действия и способ получения кодов. По страницам направлений на 28 октября 2026 года:

1. Армения Standard. Лимит 3 000 долларов в сутки, срок 4 года, выпуск 36 990 рублей. Самый низкий потолок среди долларовых карт, подходит для подписок.
2. Таджикистан Gold. Лимит 10 000 долларов, срок 3 года, выпуск 21 990 рублей. Дешевле, но потолок выше.
3. Турция Standard. Лимит 100 000 лир, срок 4 года, выпуск 19 990 рублей. Счет в лирах и долларах.
4. Киргизия Gold. Лимит 15 000 долларов, срок 3 года, выпуск 34 990 рублей. Самый высокий потолок.

Для рабочих подписок разумно брать карту с лимитом ближе к месячному бюджету. Страницы направлений: Армения, Таджикистан, Киргизия.

Чего делать не надо

1. Не храните CVV в таблицах, документах и менеджерах паролей общего доступа.
2. Не пересылайте коды 3-D Secure в мессенджере, даже коллеге из той же команды.
3. Не выпускайте одну карту на всех сотрудников без разделения ролей.
4. Не оставляйте высокий лимит, если расход в месяц в разы ниже.
5. Не откладывайте блокировку: каждый час увеличивает возможный ущерб.

Коротко

1. Реквизиты делятся на три группы: открытые бухгалтерии, известные держателю и администратору, и закрытые для всех, кроме держателя: CVV, PIN и коды.
2. PCI DSS запрещает хранить CVV после авторизации, правила банков просят не называть коды никому.
3. Потолок ущерба задает лимит: от 161 975 рублей в сутки у Турции Standard до 1 207 961 рубля у Киргизии Gold по курсу ЦБ на 28 октября 2026 года.
4. Платить без передачи реквизитов помогают привязка карты один раз администратором и оплата смартфоном.
5. Выписку сверяют раз в неделю, порядок действий при утечке записывают заранее.
6. Подобрать карту под рабочие подписки и сравнить лимиты можно в каталоге зарубежных карт, условия по каждой стране на странице.