Vad är CVV, CVC och CSC?
CVV, CVC och CSC är olika namn på samma säkerhetskod på ett betalkort. CVV står för Card Verification Value och används av Visa, CVC står för Card Verification Code och används av Mastercard, CSC betyder Card Security Code som EU-bankerna kallar koden i regelverk, och CID (Card Identification) används av American Express. På Visa och Mastercard är koden 3 siffror på baksidan, på American Express 4 siffror på framsidan ovanför kortnumret. Begreppet finns även i ordlistan för kreditkort tillsammans med relaterade säkerhetstermer.
Koden används bara vid distansköp där kortet inte är fysiskt på plats (Card Not Present), exempelvis online, telefonköp eller postorder. Den finns inte med i magnetremsan eller EMV-chippet, vilket gör att en tjuv som bara har skummat magnetremsan inte kan göra onlineköp utan att ha sett själva kortet.
Var sitter säkerhetskoden på kortet?
Koden sitter på olika ställen beroende på korttyp, men följer alltid samma princip: tryckt eller präglad på kortet utan att finnas i magnetremsa eller chip.
- Visa och Mastercard: 3 siffror på kortets baksida, oftast i fältet för signatur till höger om kortnumret eller längst till höger på samma rad.
- American Express: 4 siffror på framsidan ovanför kortnumret till höger, kallas CID på Amex.
- Diners Club: 3 siffror på baksidan, samma placering som Visa.
- Maestro: Saknar oftast CVV och kräver i stället PIN-baserad 3D Secure-verifiering.
- Digitala kort i Apple Pay/Google Pay: Använder inte den fysiska CVV utan en dynamiskt genererad kod (DCVV) som ändras vid varje transaktion.
Hur verifieras CVV-koden vid ett onlineköp?
Säkerhetskoden fungerar som ett extra verifieringssteg utöver kortnummer och utgångsdatum när du handlar online eller över telefon. Den genereras kryptografiskt av kortutgivaren när kortet utfärdas och är unik per kort, baserad på utfärdandenummer, utgångsdatum och en hemlig nyckel som bara banken känner till.
Vid varje onlineköp skickar e-handlarens betalsystem koden tillsammans med kortnummer och utgångsdatum till kortnätverket (Visa, Mastercard, Amex), som verifierar koden mot bankens databas. Om koden inte matchar avbryts transaktionen direkt.
Vid vilka köp behöver jag ange CVV?
Koden används vid alla typer av distansköp där kortet inte fysiskt avläses i en kortterminal. Tre vanliga situationer förklarar majoriteten av användningen.
- Online-shopping: Du anger koden i kassan tillsammans med kortnummer och utgångsdatum för att verifiera att du har kortet.
- Telefonbeställning: Koden ger handlaren en extra verifiering att du sitter med kortet framför dig.
- Bokning av prenumerationstjänster: Spotify, Netflix och liknande kräver koden vid första betalningstillfället, men sparar den inte för framtida transaktioner enligt PCI DSS-kraven.
Räcker CVV ensamt eller behövs 3D Secure också?
CVV verifierar att du har det fysiska kortet i hand, medan 3D Secure (Visa Secure, Mastercard Identity Check) verifierar att du är kortets rättmätiga innehavare via BankID, SMS-kod eller Face ID i bankappen. CVV är statisk under kortets livstid, 3D Secure-koden är dynamisk per transaktion.
Sedan PSD2-direktivet trädde i kraft i Sverige 2020 krävs både CVV och 3D Secure för de flesta onlineköp över 30 euro, vilket är Stark Kundautentisering enligt PSD2 artikel 97. Säkerhetsnivån är därmed betydligt högre än med bara CVV ensamt.