Risk
什麼是卡驗證值？
亦有： CVV, CVC, CVV2, CSC
印在卡上的 3 或 4 位數字代碼，用於證明持卡人實際持有該卡。
卡驗證值是一項安全功能，主要用於無卡交易中，以驗證客戶是否實際持有卡片。 Visa 和 Mastercard 卡背面通常為三位數字，而 American Express 則使用四位數字代碼（稱為 CID），印在卡片正面。
在授權過程中，商戶會將該值發送給收單機構，收單機構再將其轉發給發卡銀行，以與檔案中的記錄進行驗證。 為符合 PCI DSS 要求，商戶和服務供應商在授權完成後嚴禁儲存敏感的驗證數據，即使其他卡片詳情已加密儲存。
未能提供正確的驗證值通常會導致發卡機構軟性拒絕交易，儘管某些商戶可能根據其特定的支付計劃閾值和風險承受能力，自行承擔風險選擇覆蓋某些檢查。
此檢查仍然是與 3DS 和地址驗證服務一起的重要風險管理層面。
實例說明
商戶審查一筆 650 英鎊的交易，其中 CVV 是決定性因素。 商戶會對訂單進行評分、檢查卡片和客戶信號、應用手動審查閾值，然後放行、拒絕或透過更嚴格的控制措施來處理交易。
營運成本按預期欺詐損失的 25 個基點（即 1.63 英鎊）計算，相關操作必須在捕獲前完成。 第一步是捕獲原始請求數據，包括金額、貨幣、發卡國家、MID 以及回應或狀態代碼。
第二步是應用商戶的規則集，例如是否重試、質疑、退款、放行商品或暫緩審查。 第三步是根據收單機構的報告核對結果，以便財務部門可以看到現金影響。
如果該規則在每月 2,000 筆類似交易中將結果改善 50 個基點，商戶就能額外保護大約 10 筆訂單免受可避免的失敗或損失。
卡組織規則注意事項
Visa、Mastercard、American Express 和 Discover 都會監控商戶風險，但計劃名稱、門檻和升級路徑有所不同。 Visa 使用 VAMP 和誠信計劃來處理過多的爭議、欺詐和違禁活動，而 Mastercard 則使用 ECP、BRAM、SAFE 報告和 MATCH 等計劃。
收單機構可能會實施比這些計劃更嚴格的控制措施，包括滾動儲備金、延遲結算或終止服務，因為他們承擔投資組合層面的責任。
對商戶為何重要
從商業角度來看，這會影響欺詐損失、準備金要求、計劃監控風險，以及商戶能否保持大規模處理。 對於每月處理 500,000 英鎊的商戶而言，25 個基點的變動價值 1,250 英鎊，這還未計算爭議、準備金、支援票證或未能交付成本等次要影響。
在高風險、訂閱、旅遊、數碼商品和跨境模式中，影響會更大，因為發卡機構的決策和計劃監控會迅速加劇。 Cardflo 可以透過結合收單存取、MID 路由、編排規則、KYB 審查以及相關的退單工具來提供協助，這樣商戶就不會依賴單一處理器的解釋或單一固定的交易路徑。
常見問題
如果商家符合 PCI 規範，他們可以儲存 CVV 嗎？
不，PCI DSS 明確禁止在授權後儲存敏感的驗證數據，包括 CVV。 即使是獲得最高級別認證的實體也必須清除這些數據，以防止其在數據洩露中被洩露。
為什麼有些交易在沒有 CVV 的情況下也能成功？
一些舊系統或特定的定期支付授權在首次設定後，對於後續的商家發起交易不需要 CVV。 然而，在首次購買時省略代碼通常會導致終端拒絕的風險更高，或由於欺詐風險增加而導致更高的交換費率。
商戶應儲存哪些資料以進行CVV驗證？
儲存交易ID、MID、收單機構、金額、貨幣、發卡國家、卡組織、回應或狀態碼、時間戳記，以及任何3DS、豁免、退款或爭議參考。 對於卡交易，請保留授權和清算識別碼，因為結算或退單問題可能會在30至120天後出現。
對於受監管的流程，請保留客戶同意書和證明記錄，至少達到當地法律或卡組織規則要求的期限。 良好的記錄可將調查時間從數小時縮短至數分鐘，尤其當收單機構報告與訂單系統不符時。
應多久審查一次CVV？
高交易量的商戶應每週審查異常率，並每月按卡組織、收單機構、發卡國家、MCC和支付方式趨勢分析主要指標。 如果商戶處理數千筆訂單，20至50個基點的變動可能影響重大。
財務部門應在結算層面核對現金影響，而風險或支付營運部門應分析根本原因。 僅審查綜合總數會隱藏在單一BIN範圍、地區或MID上出現的問題。
CVV通常在什麼閾值下觸發行動？
閾值取決於類別，但商戶應調查任何超過10%相對變動或25個基點絕對變動的突然變化。 對於爭議和欺詐，卡組織的閾值，例如Visa監控下的0.9%或Mastercard ECM下的1.5%，可能會立即產生升級風險。
對於結算或定價項目，即使是5到15個基點也足以證明需要進行路由或合約審查。 關鍵是在月底前設定閾值，而不是在收到處理商發票或卡組織通知後才設定。
CVV在不同收單機構之間會有所不同嗎？
是的。 收單機構可能會以不同方式映射回應碼、應用不同的風險規則、支援不同的數據欄位，並在不同的週期進行結算。
一個收單機構可能會返回一個通用的拒絕，而另一個則會顯示發卡機構的建議，允許安全重試。 費用處理也可能因合約而異，特別是對於跨境、外匯、高端卡和APM。
這就是為什麼使用協調服務的商戶應該比較不同收單機構和卡組織的表現，而不是依賴單一的綜合批准或成本數字。
當CVV造成損失時，第一個補救步驟是什麼？
從30天的樣本開始，並按卡組織、發卡國家、卡產品、支付方式、MID以及回應或爭議代碼進行劃分。 以現金形式量化風險價值，而不僅僅是百分點。
然後決定修復方案是營運性的，例如更好的證據或客戶溝通； 技術性的，例如更豐富的數據或3DS指標；
還是商業性的，例如不同的收單機構路由。 在一個完整的結算或爭議週期後，重新檢查相同的指標，以確認變更有效。
See how 卡驗證值 plays out in practice
Industries and regions where this term drives real acquiring, routing, or dispute decisions.