Correo electrónico solicitando CVV, ¿dos días después de hacer una compra?

Hace dos noches hice una compra en un sitio web y no me pidió mi CVV. Ahora, me desperté con un correo electrónico que me lo pedía. Todavía no ha pasado por mi cuenta. ¿Es esto tan turbio como lo estoy haciendo parecer?

Aquí está el texto del mensaje de correo electrónico que recibí:

Estimado cliente,

Estamos listos para procesar su pedido, pero necesitamos los tres dígitos adicionales ubicados en el reverso de su tarjeta de crédito en la tira donde firma su nombre. Indíquenos este número para que podamos acelerar su pedido.

Bienvenido nuevo usuario - díganos en general qué tipo de cosas se venden en el sitio web. Hablando en general.
@Fattie ¿Por qué? ¿Afectaría eso significativamente las recomendaciones en el manejo de este correo electrónico? Genuinamente curioso. Y el nuevo usuario se llama Kat.
@maxathousand: pensé que muchas categorías de productos son mucho, mucho, mucho más fraudulentas que otras.
¿Podría ponerse en contacto con la empresa por otros medios para confirmar que el correo electrónico es de ellos?
@maxathousand ¿Por qué no? ¿Puedes dar una buena razón para no hacerlo? Por lo general, cuando se solicita ayuda, es bueno brindar tanta información como sea razonable y relevante. El autor de la pregunta publicó la pregunta en la Internet pública. No estamos invadiendo su casa preguntando en qué están gastando el dinero. Tenemos motivos para preguntar.
@maxathousand En realidad, el nuevo usuario se llama Katelyn.
Dado que el comerciante no puede almacenar el CVV, enviarlo por correo electrónico hace que sea imposible para ellos probar que no lo almacenaron, accidentalmente o a propósito.
Hable con el emisor de su tarjeta inmediatamente. Usando tarjetas en persona o por correo, por teléfono o por WWW desde antes de que CVV evolucionara, no recuerdo que un proveedor me haya vuelto a contactar de esa manera. ¿Por qué lo harían? La seguridad requiere que los sitios web no completen el proceso de pago si faltan detalles... Imagínese "¿Le gustaría ingresar su CVV, o es demasiado problema ahora?" Los pedidos incompletos normalmente se retienen por un corto tiempo; probablemente no más de 24 horas, lo que le da al comprador la oportunidad de volver a iniciar sesión y finalizar la transacción. Mucho antes de dos días, la venta debería "morir" y rara vez es una verdadera molestia comenzar otra.

Respuestas (9)

NO responda directamente al correo electrónico con su información.

No puedo enfatizar eso lo suficiente: NO responda al correo electrónico con información valiosa. Si decide enviarles el número CVV para procesar el pedido, vaya a su sitio web (no haga clic en un enlace en el correo electrónico) y comuníquese con ellos mediante un correo electrónico de servicio al cliente o el número "Contáctenos" y pregúnteles directamente. si han solicitado esta información. Si lo hicieron, llámelos por teléfono y comparta el CVV de esa manera, en lugar de en un correo electrónico.

Parece que podría ser phishing, donde un estafador se hace pasar por alguien con quien has hecho negocios y te pide información que puede ser valiosa. Por lo general, es para un nombre de usuario y contraseña del banco ("Su contraseña ha sido comprometida. ¡Haga clic aquí para restablecerla!" -- Nunca haga clic allí). Si somos honestos, no creo que esto sea phishing (un estafador necesitaría sus datos de CC para que el CVV sea de alguna utilidad), pero podría serlo y es importante desarrollar hábitos seguros.

Un comerciante usa ese código para procesar el pago y verificar la posesión de la tarjeta si no se la entregan en persona (es decir, compras por Internet). Entonces, si no lo pidieron antes, probablemente fue un error y, al menos, los expone a una mayor responsabilidad. Si son nuevos en aceptar pagos con tarjeta de crédito, es posible que todavía estén averiguando todo y es un error honesto. Pero ese es el tipo de cosas que realmente deberían resolver después de ejecutar un par de órdenes (por supuesto, un estafador también lo habría descubierto, por lo que no lo consideraría una señal de alerta per se). (NB: Aparentemente, el requisito no es tan fuerte como pensé originalmente (ver comentarios), pero consideraría necesitar el CVV como norma )

Podría estar dispuesto a darles el beneficio de la duda si se trata de una operación nueva y pequeña (y más empresas se han basado en Internet en los últimos meses por razones obvias), pero sería extremadamente cauteloso al responder directamente al correo electrónico con cualquier información personal o remotamente valiosa por los motivos mencionados anteriormente. Comuníquese con la empresa directamente a través del sitio web para confirmar, preferiblemente con una llamada telefónica. No es perfecto, pero es mucho más seguro con un poco más de esfuerzo.

En realidad, no se requiere CVV para las compras por Internet, aunque, en la práctica, todos los lugares legítimos lo usan. ¿Quizás te confundiste porque no puedes almacenar un número CVV? Pero las transacciones pueden realizarse sin CVV o incluso con el CVV incorrecto. Fuente: Uso Stripe y puedes deshabilitar la regla que bloquea los pagos sin o con el CVV incorrecto. No tengo idea de qué caso de uso sería, pero se puede hacer.
@Bakuriu El ejemplo más notable que conozco es que Amazon no solicita el CVV. Les genera una mayor parte del costo en caso de fraude, pero consideran que vale la pena reducir la fricción de pagar y aumentar la conversión de clientes.
"Tu contraseña ha sido comprometida. ¡Haz clic aquí para restablecerla!" Sin embargo, esa oración es similar a la mayoría de los restablecimientos de contraseña que obtenemos de los servicios en línea, cuando intencionalmente hacemos clic en Olvidé la contraseña.
@ChrisHayes ¿Seguramente la fricción del CVV es insignificante en comparación con la fricción de todos los demás datos?
Cuando proporciono información de la tarjeta de crédito como garantía, como cuando reservo un hotel o alquilo un auto, generalmente tampoco solicitan CVV, sin embargo, en el caso de que no me presente, asumo que aún pueden cobrarme.
Han pasado 15 años desde que trabajé en el procesamiento de pagos, pero en ese entonces el proveedor enviaba el número CVV y la parte numérica del código postal del cliente y luego obtenía un código de retorno que decía cuál de ellos coincidía, y luego dependía de el vendedor si procede o no. Una vez que un proveedor como Amazon ha verificado el CVV y el código postal una vez, no hay necesidad de hacerlo para compras posteriores.
@user253751 Amazon puede tokenizar la mayoría de los datos de la tarjeta con el fin de repetir la transacción, pero está estrictamente prohibido conservar el CVV. Si están preparados para asumir la responsabilidad adicional, pueden optar por reutilizar el token de la tarjeta guardado y enviarlo sin el CVV, lo que significa que no tienen que pedirle al usuario que ingrese ninguna información de la tarjeta, por lo que se convierte en efectivamente sin fricción.
@DavidFulton Pensé que era bastante normal, no exclusivo de Amazon. Muchos lugares solicitan el CVV en la primera transacción, y luego no después de eso, si elige que recuerden los detalles de su tarjeta.
@user253751 El esfuerzo de obtener el CVV puede ser inmenso , comparativamente. Safari (y tal vez otros navegadores) felizmente almacenará y completará automáticamente (si quiero) mi nombre, dirección de envío, números de tarjeta y fechas de vencimiento. Puedo completar completamente un formulario de pedido con un par de indicaciones de autocompletar. Proporcionar el CVV requiere levantarse y ubicar la tarjeta real, ya que mi billetera básicamente nunca está en mi bolsillo cuando estoy sentado frente a una computadora.
@nadie, pero generalmente es "[pagar con la misma tarjeta que la última vez] [ingresar los detalles de la tarjeta]". Haga clic en el botón izquierdo, sin autocompletar y también sin CVV. No sé sobre Amazon específicamente.
@ user253751 Es bastante común, pero depende de la actitud de riesgo del comerciante. Son responsables si se disputan las transacciones posteriores, por lo que si alguien inicia sesión en su cuenta de Amazon y completa con éxito una compra con su tarjeta guardada sin proporcionar un CVV, ese es su problema. Lo más probable es que te pidan un CVV si ingresas una nueva dirección al mismo tiempo.
De acuerdo, entonces no siempre depende del comerciante; Amazon es una excepción al caso porque realiza tantas transacciones que tiene una visión única de quién es usted y su domicilio (es decir, si es quien dice ser). Los comerciantes individuales pueden tener que tomar el CVV según lo requieran sus procesadores para reducir el riesgo de fraude, por lo que 'opcional' es un término muy fluido, como decir 'el PAN es opcional, podría escribir un cheque ' . La opcionalidad depende de los niveles de riesgo previos de los comerciantes, el tipo de transacción, etc. También depende de la configuración del emisor.
" un estafador necesitaría sus datos de CC para que el CVV sea útil " Es poco probable, pero un estafador también puede haber sido un pirata informático/trabajado con un pirata informático para obtener números de tarjetas de crédito, nombres y fechas sin CVV, junto con correos electrónicos para compras, y está enviando correos electrónicos fraudulentos para obtener esa última información para hacer que el volcado de la tarjeta de crédito sea significativamente más valioso.
@nadie Exactamente. Además, el CVV es el más difícil de recordar. Mi número de tarjeta no ha cambiado en una década y la fecha de vencimiento es siempre el mismo mes en incrementos de tres años. En comparación con eso, obtengo un nuevo CVV aleatorio cada vez que se renueva una de mis tarjetas, por lo que es bastante difícil hacer un seguimiento de cuál es la actual.
@nadie Google Pay acepta mi CVV perfectamente. Mi CVV también está presente en mi bóveda de contraseñas. ¿Qué es lo que dices sobre que el navegador no puede almacenar el CVV?
"Si son nuevos en aceptar pagos con tarjeta de crédito, es posible que todavía estén averiguando todo y es un error honesto". La mayoría de los sitios tienen una versión de prueba de su sitio para asegurarse de que la mayoría de las cosas funcionen como se espera. Perder el CVV sería un gran descuido.
Esto podría ser un phishing con un cómplice interno (o compromiso): tienen los datos de la tarjeta de crédito pero no el CCV, por lo que no les sirve de mucho.
@ user17915 No, no lo es. Uno genuino nunca diría "Su contraseña ha sido comprometida".
@Nzall Nadie no dijo que el navegador no puede almacenar CVV. El comerciante no puede almacenar el CVV debido a PCI DSS. Eres perfectamente libre de hacer con tu CVV lo que quieras, guardarlo en tu navegador, ponerlo en un post-it en tu pantalla, contratar a un skywriter... Lecturas adicionales: blog.pcisecuritystandards.org/…
Creo que los procesadores de pago modernos aceptan los datos de la tarjeta, incluido CVV, una vez, luego devuelven un token al comerciante que puede ser utilizado para futuras ventas por ese comerciante al mismo cliente. El token no se puede usar para una compra de ningún otro comerciante.

Puede que no indique fraude, pero sugiere incompetencia/amateurismo por parte de la empresa. Este no es el flujo normal para aceptar pagos con tarjeta de crédito. ¿Acaba de empezar a hacerlo?

Ben Miller dice:

Podrían haber estado manejando mal el código con la misma facilidad si lo hubieran pedido al momento de pagar.

Pero pedirlo al momento de pagar es probablemente parte de un proceso de software estándar. Pedirlo en un correo electrónico sugiere un proceso inusual, manual, "roll-your-own" que probablemente sea menos seguro que uno estándar. Incluso si no será responsable de ningún fraude, es una señal de que el negocio también puede ser amateur en otros aspectos (calidad, servicio al cliente).

Con todas las tiendas de renombre que fueron pirateadas y los números de tarjetas robados en los últimos años, no sé si podemos generalizar que los sitios web más elegantes y los procesos estándar son más seguros que una mamá y un papá que hacen las cosas manualmente. En cualquier caso, para eso es la responsabilidad por fraude de $0.
La mayoría de los pequeños comerciantes en línea no están autorizados a procesar datos confidenciales de tarjetas en absoluto; en su flujo de autorización de pago normal, se redirigirían a alguna puerta de enlace comercial que obtendría el número de tarjeta y el CVV sin que el comerciante pudiera ver los datos . También creo que PCI DSS no permite un proceso de autorización manual que implique que los datos confidenciales se transmitan y almacenen de forma insegura (es decir, por correo electrónico); las autorizaciones telefónicas funcionan, pero esto no parece que un comerciante legítimo pueda hacer por su comerciante. acuerdo de banco/puerta de enlace.
Sí, lo acabo de comprobar: PCI DSS prohíbe explícitamente un "proceso inusual, manual, de 'roll-your-own'" que implica el intercambio de datos de tarjetas por correo electrónico. En el estándar, "4.2 Nunca envíe PAN sin protección mediante tecnologías de mensajería de usuario final (por ejemplo, correo electrónico, mensajería instantánea, SMS, chat, etc.)". Para los "datos de autorización confidenciales" como CVV, es incluso más estricto que los números de tarjeta: no puede almacenarlos en absoluto después de la autorización, aceptar CVV por correo electrónico debería garantizar (y verificar en la auditoría) que el número se elimine de cualquier y todos los servidores de correo electrónico, registros y copias de seguridad, lo cual es casi imposible.

Incluso si esta es una solicitud inocente, está mal .

Las normas PCI-DSS (que tienen un alcance global) son extremadamente estrictas en cuanto a la gestión de los datos de las tarjetas. Ciertos valores no se pueden retener en absoluto y algunos deben cifrarse tanto en tránsito como en reposo. El CVV es uno de los campos más protegidos, por lo que el hecho de que te pidan que lo envíes por correo electrónico ya es una brecha.

Por lo menos, no saben lo que están haciendo. Esto podría capturarse mediante un formulario web seguro (la mayoría de las pequeñas empresas solo obtienen un servicio de adquisición para alojar la página), pero la captura de correo electrónico definitivamente no está activada.

Aceptar. Nunca pongas nada en un correo electrónico que no escribirías en una postal.
@Maark: buena analogía.
Creo que una solicitud legítima pero inapropiada de enviar información confidencial por correo electrónico debe responderse con una oferta para llamar a la empresa con la información adecuada si le devuelven información sobre cómo comunicarse con la persona adecuada a través del número principal de la empresa. Aunque conocí a alguien que tomó esa ruta y luego fue copiado en un correo electrónico donde la persona a la que llamó envió la información confidencial a la persona de la empresa que procesa el pago. Grrrr....
@Maark: si bien es una buena analogía, no estoy seguro de que sea lo suficientemente efectiva en este caso. Para usted o para mí, no hace falta decir que no escriba su CVV en una postal, pero estoy bastante seguro de que hay muchas personas a las que se podría persuadir para que envíen su CVV en una postal, a una empresa que ya tenía su número de tarjeta y otros detalles, razonando que alguien que ve el CVV solo no es peligroso. "No proporcione su CVV, excepto cuando realice un pedido por teléfono oa través de un formulario web seguro" es más parecido.
@Maark: para ser más precisos, 6 de esas personas son Ben Miller y los 5 que votaron a favor de esa respuesta al momento de escribir.

En mi opinión, esto realmente depende del sitio web. Si el sitio web no es realmente un escaparate, pero es, por ejemplo, una tienda de juegos local (local en algún lugar, de todos modos) que vende tarjetas Magic/Pokémon en línea, algo así, donde toman su información a través del sitio web pero en realidad la ingresan en su sistema POS a mano, entonces esto es algo completamente razonable. Esta no es una excelente manera de hacer las cosas: ninguna parte de un sistema en el que ingresan información en POS que recopilaron de otra manera lo es, y es casi seguro que no cumple con la forma en que deberían estar haciendo las cosas, pero tampoco es sorprendente . , y probablemente no fraudulento en ese caso; simplemente se olvidaron de solicitar el código durante el proceso de pago.

Sin embargo, si el sitio web pareciera estar completo con información de pago incorporada, entonces sería más cauteloso. Eso hace que suene mucho más como phishing, para mí.

Sin embargo, a fin de cuentas, parece que es poco probable que se trate de phishing y que es muy probable que se trate de una tienda que... no es muy segura. No les devolvería el correo electrónico, sino que los llamaría . Si es como lo describo y hace las cosas manualmente en su sistema POS, entonces es posible que pueda manejar esto por teléfono. Evitar que el código CVV esté en el correo electrónico es un beneficio importante y, en segundo lugar, confirma que el correo electrónico realmente provino de ellos contactándolos a través de un método diferente (y busque su número de teléfono en línea, no use el correo electrónico que le enviaron). )

¿A quién le importa si es phishin? ¡Es sombrío!
No puede guardar el código CVV, por lo que la parte de su premisa en la que se olvidó de solicitarlo no es válida o es al menos un problema tan grande como la solicitud por correo electrónico.
@DanIsFiddlingByFirelight Mi sugerencia aquí es que son una pequeña operación que no sigue estos protocolos correctamente, sí. Solo trato de diferenciar entre "no prestar atención a las reglas" y "estafar"; Creo que lo primero es más probable que lo segundo.

Agregando a la respuesta de @ davidfulton ...

El CVV es un indicador de "prueba de posesión". Si conoce el CVV, significa que la tarjeta está en su mano y la está leyendo de la tarjeta. Nunca se debe grabar de forma permanente en ningún lugar. Cuando estoy hablando con un agente de servicio al cliente y me piden el CVV, mi respuesta es "¿lo estás escribiendo o lo estás ingresando en una computadora?" Si es lo primero, no se lo doy.

Un sistema de procesamiento de tarjetas de crédito correctamente construido manejará el CVV correctamente (y estos sistemas se auditan todo el tiempo). Escribirlo en una hoja de papel o ponerlo en un correo electrónico está mal.

Cualquiera que conozca su CVV y su número de tarjeta puede demostrar que "posee" su tarjeta.

Y sí, PCI-DSS es muy quisquilloso con lo que un comerciante puede hacer con la información de la tarjeta y la información de CVV en particular. Nunca deberían pedirte que lo pongas en un correo electrónico.

Para aclarar: PCI-DSS rige los procedimientos del comerciante , no los del cliente. Un comerciante que habitualmente solicita el CVV por correo electrónico corre un grave riesgo de perder el privilegio de aceptar tarjetas de crédito. Los bancos y los procesadores de tarjetas de crédito se enojan con los comerciantes si manejan mal esta información.
@O.Jones: Gracias. Lo dejé más claro. Acabamos de terminar toda la limpieza de nuestra auditoría PCI

Como desarrollador web, sé que el sitio web de una tienda nunca debe almacenar su número de tarjeta de crédito. Debe pasarse directamente a la pasarela de pago y nunca almacenarse. Si la tienda todavía tiene su número de tarjeta de crédito 2 días después para usar con el CVV, están manejando mal su información de pago. De lo contrario es una estafa. No envíe su CVV, comuníquese con la tienda para ver qué está pasando (pueden haber sido comprometidos).

CVV nunca se divulga sin cifrar, es decir, por correo electrónico. Solo se puede revelar a través de una página segura de procesamiento de tarjetas de crédito. Probablemente sea ilegal que la empresa solicite un CVV por correo electrónico.

No es ilegal, pero es una violación grave del acuerdo del comerciante con su procesador de tarjeta de crédito: CVV debe manejarse estrictamente usando las reglas PCI-DSS (y esto es simplemente incorrecto).

Déjame hacerte estas preguntas:

  • ¿Confías en este sitio web/negocio?
  • Si le hubieran pedido el código CVV al finalizar la compra, ¿lo habría proporcionado?
  • ¿Cree que el mensaje de correo electrónico que recibió es realmente de la empresa?

Si puede responder afirmativamente a todas estas preguntas, continúe y déles el código. Si no les da el código, su pedido será cancelado y no recibirá su artículo.

Espero que alguien comente en este punto y sugiera que lo que están haciendo es ilegal/inadecuado, y que no deberían necesitar el código. Les diría a ellos (ya usted) que esta empresa no estaría pidiendo el código si no lo necesitaran para procesar su pedido. Si lo hubiera proporcionado al finalizar la compra si se le solicita, entonces debe proporcionarlo ahora.

También sugerirán que la empresa está manejando mal el código. Puede que lo sean o no, pero eso no es realmente una preocupación tuya. Podrían haber estado manejando mal el código con la misma facilidad si lo hubieran pedido al momento de pagar.

Si resulta que alguien en esta empresa es un ladrón, o si lo piratean y le roban el número y el código de su tarjeta, usted no será responsable de los cargos fraudulentos. Entonces, si bien es bueno ser cauteloso, si no tiene motivos para sospechar que la empresa o el sitio web son falsos, les diría que continúen y les den el código.

Una de las razones para proporcionarlo al finalizar la compra, pero no por correo electrónico, es que el correo electrónico no es seguro. En un flujo normal, los datos deberían haberse enviado a través de una conexión cifrada y deberían borrarse después de la autorización. Esto es difícil de garantizar con el correo electrónico, ya que pueden existir copias en los servidores de correo electrónico, en la papelera de reciclaje, etc. No creo que sea ilegal, pero no cumple con PCI DSS. Eso no significa que sean ladrones, probablemente sean honestos pero tienen procesos un poco dudosos. Personalmente, si confío en la empresa, estaría bien enviar solo CVV por correo electrónico, pero no CVV + detalles de la tarjeta de crédito en el mismo correo electrónico.
@JBChouinard Sí, el correo electrónico no es seguro, pero el mensaje no solicita el CVV y el número de tarjeta de crédito por correo electrónico, solo el CVV, que es un número de tres dígitos inútil sin el número de tarjeta de crédito (que ya tienen ). Recuerda que el CVV no es un PIN , y entregas tu tarjeta con ambos datos a extraños todo el tiempo.
Entiendo que solo están preguntando CVV, solo quería aclarar que "podría estar bien enviar CVV solo por correo electrónico" NO significa "está bien enviar toda la información de la tarjeta de crédito por correo electrónico".
@JBChouinard De acuerdo. :)
@BenMiller-RememberMonica Supongo que quiere decir "le entrega su tarjeta a extraños todo el tiempo" en los EE. UU. En el Reino Unido, no puedo recordar la última vez que hice eso, probablemente hace unos 20 años (y uso pagos con tarjeta para casi todo). Espero que si ingresa el CVV en una transacción de pago confiable a través de un sitio web , ningún humano llega a conocer el CVV: simplemente se envía a la compañía de tarjetas, se verifica y luego se descarta para siempre.
¿Cree que el mensaje de correo electrónico que recibió es realmente de la empresa? Llevo 20 años profesionalmente en TI y mi primer trabajo fue cuidar servidores de correo. No confiaría en mí mismo para juzgar con precisión si el mensaje realmente provino de la empresa y supondría que se trataba de un phishing. (Llamaría a la compañía para confirmar y educar o no confirmar y advertirles que tuvieron una infracción).
@JBChouinard CVV tiene limitaciones más estrictas que los números de tarjeta, hay muchos tipos de procesamiento que están permitidos para números de tarjeta pero prohibidos para CVV. Citando PCI DSS, "Los datos de autenticación confidenciales no deben almacenarse después de la autorización, incluso si están encriptados. Esto se aplica incluso cuando no hay PAN en el entorno". (Los datos de autenticación confidenciales incluyen CVV; PAN es el número de tarjeta), por lo que incluye explícitamente el escenario de CVV se envía por separado. PCI DSS 3.2 requiere que se asegure de que el correo electrónico con ese número se borre de forma irrecuperable (!) de todos los sistemas después de la autorización.
Se requiere mucha confianza y creencia en esta respuesta, ¡no es un buen plan cuando se trata de información como esta!
Primero, sugiere que solo debe seguir adelante si confía en la empresa, luego sugiere que no importa porque de todos modos no estará en el anzuelo. No estoy seguro de lo que realmente estás sugiriendo aquí.
@Fax Al realizar transacciones con cualquier persona, debe juzgar si la persona/entidad con la que está tratando es confiable o no. En este caso, el OP ya ha decidido que este sitio web es lo suficientemente confiable como para realizar un pedido. A continuación, debe considerar el riesgo para usted mismo en caso de que se equivoque. En este caso, debido a que se trata de una tarjeta de crédito, el riesgo es mínimo, debido a las políticas de protección contra fraudes. La mayoría de la gente hace estos juicios a diario.
@Peteris Como dije, soy consciente de que no cumple con PCI DSS. Si fuera un sistema de pago del que fuera responsable, me molestaría bastante. ¿Como cliente? Meh. Con la protección contra el fraude de responsabilidad cero, el comerciante o el banco son responsables. Que me roben la información de mi CC es un inconveniente, por lo que no voy a dar información a posibles actores maliciosos, pero no es mi trabajo hacer auditorías PCI DSS de cada comerciante con el que interactúo.
@Peteris Mi razonamiento de por qué no perdería el sueño enviando CVV por correo electrónico es que solo tiene 3 dígitos. Sólo hay 1000 posibilidades. Por el principio del casillero, muchas tarjetas de crédito comparten CVV. Tener un CVV solo no te lleva lejos, si no sabes a qué CC pertenece. Más allá de eso, si el comerciante lo almacena incorrectamente, podría ser responsable si ocurre un fraude, pero eso es principalmente un problema entre el comerciante y el banco.
@JBChouinard, mi razonamiento sobre esto es que, dado que los comerciantes legítimos tienen prohibido hacer esto, esto es un indicador de que posiblemente no se trate de un correo electrónico del comerciante, sino de un correo electrónico falsificado de un estafador externo. Por ejemplo, puede ser que alguien haya pirateado la base de datos de algún comerciante y haya obtenido números CC, correos electrónicos e información de compra, pero no CVV. El número CC por sí solo no es tan valioso, por lo que si envían solicitudes de CVV como spam y algunos de los clientes responden, entonces pueden extraer mucho más dinero de esa infracción, ya que pueden agregar el CVV a los números de tarjeta robados.
Tantos malos consejos en esta respuesta, apenas sé por dónde empezar. this company would not be asking for the code if they didn’t need it- el correo electrónico puede ser falsificado. Fácilmente. No necesariamente proviene de la empresa. Seguramente conoce correos electrónicos falsificados que pretenden ser de $bank. you will not be liable for the fraudulent charges- seguro... pero mientras tanto hay saldo adicional en su tarjeta, tiene el dolor de cabeza de que le reviertan los cargos, puede necesitar una nueva tarjeta (y necesita actualizar el número almacenado en la actualización automática y con los pagos automáticos), etc. etcétera etcétera.
@Mark Por supuesto, el correo electrónico puede falsificarse. Es por eso que comencé la respuesta de la forma en que lo hice (ver la tercera viñeta). Sin embargo, OP dijo que la compañía aún no ha cargado la tarjeta de crédito por la venta, lo que sugiere que hay un retraso.
Of course, e-mail can be spoofed. That’s why I started the answer the way I did (see third bullet)... lo que implica que una persona promedio puede determinar si un correo electrónico es falsificado. Tenga en cuenta el comentario de @chrylis-cautiousoptimistic- diciendo que incluso un administrador con mucha experiencia no siempre puede saberlo.
No pondría mi código CVV en una postal y la publicaría, con el riesgo de que alguien lo intercepte. El correo electrónico tiene casi la misma seguridad que una postal, no envíe información por correo electrónico si no se sentiría seguro escribiendo en una postal.
@Polygorial 152

Los detalles de su tarjeta de crédito se pueden ver como públicos

Los detalles de su tarjeta de crédito se han manejado de manera insegura, y debe comunicarse con su banco para que revoquen la tarjeta y obtengan una nueva.

Lo ocurrido

Para manejar los pagos con tarjeta de crédito a través de Internet, la empresa debe tener la certificación PCI-DSS (gracias a David Fulton por el nombre completo de la certificación). La certificación es obligatoria para las grandes compañías de tarjetas de crédito como Visa y MasterCard. Esta certificación se implementa para garantizar que los detalles de la tarjeta de crédito se manejen de manera segura.

Pero una tienda web no necesita esta certificación si utiliza un proveedor de pagos externo. En ese caso, toda la información de la tarjeta de crédito es manejada por el proveedor de pago. Al enviar la información de la tarjeta de crédito directamente al proveedor de pago, la tienda web nunca maneja ninguna información de la tarjeta de crédito.

La tienda web a la que has pedido no tiene o no sigue la certificación PCI-DSS. Esto es obvio cuando solicitan el CVV por correo electrónico. Y no utilizan un proveedor de pago de terceros que tenga la certificación PCI-DSS, por la misma evidencia. Al menos no de la forma prevista. Lo más probable es que estén tratando de desarrollar al menos la interfaz de usuario para el pago sin saber completamente lo que hacen.

El resultado de esto es que no se puede confiar en los detalles de la tarjeta de crédito agregados a esta tienda web. Han demostrado que no pueden manejar la seguridad necesaria para los datos de tarjetas de crédito. Como tal, trataría toda la información de esa tienda web como pública.

Tenga en cuenta que no estoy diciendo que la tienda web haya actuado de forma malintencionada a sabiendas. Pero se trata de su dinero, ¿realmente importa si es a sabiendas o no?

Qué hacer ahora

No puedo decirte qué hacer, pero esto es lo que haría:

  1. Póngase en contacto con el banco y detenga el pago de este pedido. No quiero hacer negocios con empresas dudosas, prefiero pedir el producto en otro lugar por unos cuantos dólares extra.
  2. Cuando hable con el banco, cancele la tarjeta y solicite una nueva. Uno nuevo con un nuevo número de tarjeta de crédito. Como se indicó anteriormente, considero que los datos de su tarjeta de crédito son públicos. Y como sabe que se ha usado un poco poco fiable, es probable que no le devuelvan el dinero si se usa para algo que no ha pedido.
  3. Póngase en contacto con la tienda web y cancele el pedido. Hazlo lo antes posible, después de detener la transacción y cancelar la tarjeta.
  4. Comuníquese con la compañía de su tarjeta de crédito (Visa, MasterCard, etc.) e infórmeles sobre la tienda web. Esperemos que investiguen la tienda web. De esa manera ayudas a asegurarte de que nadie más se meta en este lío.

Podría ser otra cosa

Como se indicó en otras respuestas, esto podría ser phishing. Pero si es así, ¿no debería completarse el pedido ahora? ¿Y cómo supieron los phishers que hiciste un pedido en esa tienda web? Si lo hizo público en Internet, es posible que lo hayan recogido allí; de lo contrario, obtuvieron la información de la tienda web.

Pero, de nuevo, es su dinero el que está en juego. Creo que es mejor prevenir que lamentar.

Esta es una reacción exagerada. No hay evidencia de que el comerciante tenga la intención de realizar cargos fraudulentos en la tarjeta. Te estás engañando a ti mismo si no crees que ahora hay muchas personas que trabajan en muchas empresas que ya pueden leer tu número de tarjeta de crédito si quieren. Además, usted, como cliente, no es la policía de estándares de la pasarela de pago. Eso es entre el comerciante y su banco. Usted no será responsable si eventualmente aparecen cargos fraudulentos en la tarjeta, y si lo hacen, no tiene forma de saber si la violación de seguridad fue en este comerciante o en Wal-Mart.
Sin embargo, estoy de acuerdo contigo en que es poco probable que se trate de un intento de phishing.
Correo electrónico solicitando CVV, ¿dos días después de hacer una compra?
RespuestasAquíPolítica de privacidad1y, 0v