CVV e CVC: cosa sono e a cosa servono i codici di sicurezza delle carte

Il CVV (Card Verification Value), chiamato anche CVC (Card Verification Code) o “Security code” a seconda del circuito di pagamento, è il codice numerico che serve a verificare che chi sta effettuando un pagamento sia realmente in possesso della carta. Nella maggior parte dei casi si tratta delle tre cifre stampate sul retro della carta.

In questo articolo vediamo dove si trova, a cosa serve nelle transazioni online e come proteggerlo da tentativi di frode.

CVV e CVC indicano, nella pratica, la stessa cosa, ovvero il codice di sicurezza di tre cifre (quattro nel caso delle carte American Express) che non è collegato al chip o alla banda magnetica della carta.

Il nome cambia solo in base al circuito di pagamento usato: Visa utilizza la dicitura CVV, Mastercard preferisce CVC o “SECURITY CODE”, mentre altri circuiti internazionali adottano sigle simili come CVV2 o CID. La funzione, però, resta identica in tutti i casi.

Questo codice non compare mai sugli scontrini delle transazioni né viene registrato dai sistemi dei negozi online che rispettano gli standard di sicurezza PCI DSS (Payment Card Industry Data Security Standard), il protocollo internazionale che regola la gestione dei dati delle carte di pagamento. È un dato che il titolare della carta conserva solo per sé e comunica esclusivamente al momento del pagamento.

Sulla maggior parte delle carte di credito e delle carte di debito, il codice si trova sul retro.

Le carte del circuito American Express fanno eccezione in quanto qui il codice, che, lo ricordiamo, è composto da quattro cifre, è stampato sul fronte, sopra il numero della carta.

In alcuni casi le carte non riportano più numero, scadenza e CVV/CVC in stampa fisica, per ridurre il rischio in caso di furto o smarrimento. In questi casi i dati, incluso il codice di sicurezza, sono consultabili unicamente tramite l’app della banca, dopo autenticazione.

Chi utilizza questo tipo di carta dovrà quindi recuperare il CVV/CVC dall’app ogni volta che è necessario, senza poterlo leggere sul supporto fisico.

Il codice CVV/CVC viene richiesto principalmente nei pagamenti digitali a distanza come, ad esempio, acquisti su siti e-commerce, abbonamenti o pagamenti telefonici. Serve a confermare che chi digita i dati della carta ne è effettivamente in possesso, dato che questo codice non è memorizzato sulla banda magnetica né leggibile dal chip, e quindi non può essere copiato clonando fisicamente la carta.

Anche nei siti in cui, dopo un primo acquisto, è possibile salvare la carta per gli acquisti successivi, se il commerciante rispetta davvero gli standard PCI DSS, il CVV/CVC non viene conservato nei loro sistemi e verrà richiesto nuovamente a ogni transazione, oppure sostituito da un token di pagamento sicuro.

Non tutti i pagamenti lo richiedono. Nei pagamenti in negozio con inserimento del PIN, o nei pagamenti contactless, il CVV/CVC non viene chiesto, perché la verifica avviene tramite altri meccanismi legati al chip e al terminale POS.

Infine, il CVV/CVC/SECURITY CODE, insieme agli altri dati della carta viene richiesto per il caricamento sui vari wallet (Apple Wallet, Paypal, Google Wallet, ecc).

Il CVV/CVC va trattato con la stessa attenzione riservata al PIN della carta. Di seguito riportiamo alcune delle buone pratiche che è meglio rispettare per evitare problemi:

• Non comunicarlo mai per e-mail, SMS o messaggistica istantanea. Nessun istituto bancario lo richiede tramite questi canali e, se dovesse arrivare una richiesta di questo tipo, si tratta quasi sempre di un tentativo di phishing, ovvero di furto di dati tramite comunicazioni ingannevoli che imitano un mittente affidabile.
• Non condividerlo telefonicamente se non si è certi dell’identità dell’interlocutore, anche qualora dichiari di chiamare dalla banca.
• Verificare che il sito di pagamento sia protetto, controllando la presenza del protocollo HTTPS e l’affidabilità del venditore, prima di inserire i dati della carta.
• Non fotografare né salvare il codice in note del telefono, e-mail o cloud non protetti.
• Attivare le notifiche push legate ai movimenti della carta, quando disponibili, per accorgersi tempestivamente di transazioni non riconosciute.

In caso di sospetta frode, o se si nota un utilizzo della carta non autorizzato, la procedura corretta prevede il blocco immediato della carta tramite l’app o il numero verde della banca, seguito dalla segnalazione dell’accaduto.

Se il sistema di pagamento segnala un errore relativo al CVV/CVC, le cause più frequenti sono:

• Codice inserito in modo errato, anche per una sola cifra. In questo caso consigliamo semplicemente di riprovare.
• Carta scaduta o non ancora attivata, problematica che può facilmente essere aggirata accertandosi che la carta sia ancora o già in funzione.
• Stampa del codice usurata o poco leggibile sul retro della carta, situazione che può richiedere la sostituzione fisica della carta

Per le carte digitali, se l’app non mostra il codice, potrebbe essere necessario un aggiornamento dell’app stessa o una nuova autenticazione. In caso di dubbi persistenti, il canale più affidabile resta il servizio clienti ufficiale della propria banca o emittente, contattato tramite i numeri indicati sul sito istituzionale o sull’app, mai tramite link ricevuti via e-mail o SMS.

L’articolo è di carattere divulgativo aggiornato alla data di pubblicazione. Per conoscere l’offerta della Banca consulta l’area Prodotti.

Messaggio pubblicitario con finalità promozionale. Per le condizioni contrattuali si rinvia ai fogli informativi e/o alla documentazione contrattuale disponibili sul sito www.bancobpm.it e presso le filiali della Banca. Per l’emissione della carta di debito e della carta di credito la Banca si riserva la valutazione dei requisiti necessari alla concessione e dei massimali di spesa da assegnare alla stessa.