3D Secure bij casinobetalingen

Bij een kaartbetaling zonder fysieke kaart stuurt het casino, via zijn betaaldienstverlener, gegevens over de transactie en je apparaat naar de uitgevende bank. Die bank beoordeelt het risico en kiest dan tussen twee routes: een stille goedkeuring op de achtergrond of een extra controle waarbij jij iets moet doen.

De eerste route heet de frictionless flow. Je ziet niets, omdat de bank op basis van onder meer een apparaatvingerafdruk en je betaalgeschiedenis concludeert dat het risico laag is.

De tweede route is de challenge flow, en daar verlangt PSD2 twee onafhankelijke factoren uit drie categorieën: iets wat je weet, iets wat je hebt en iets wat je bent. Een eenmalige sms-code gecombineerd met een pincode voldoet, net als een vingerafdruk of gezichtsscan in je bankapp op een telefoon die aan je rekening gekoppeld is. Welke methode je krijgt, bepaalt je bank, niet het casino. Daarom kan dezelfde storting bij twee spelers er heel anders uitzien.

De oudere versie van het protocol werkte met een vast wachtwoord in een pop-upvenster.

De tabel zet de vier situaties naast elkaar die je in een casinokassa kunt tegenkomen. De omschrijvingen volgen de documentatie van betaaldienstverleners zoals Adyen en Paysafe; de precieze afhandeling verschilt per bank en per kaartnetwerk.

Je ontmoet 3D Secure op het moment dat je met Visa of Mastercard stort. Bij iDEAL | Wero of een bankoverschrijving speelt het geen rol, want daar keur je de betaling rechtstreeks bij je eigen bank goed.

Een creditcard mag in Nederland volgens de geldende regels geen tegenrekening van je speelrekening zijn. Storten met de kaart kan bij sommige legale aanbieders wel, maar opnames gaan dan naar een geverifieerde bankrekening op jouw naam.

Loopt een storting vast, kijk dan eerst waar het misging. Verloopt de bevestiging in je bankapp of sluit je het venster te vroeg, dan weigert de bank de transactie en is er niets afgeschreven, hooguit een tijdelijke reservering. Op mobiel gaat het vaak mis bij het wisselen tussen de casino-app en de bankapp. Blijft de foutmelding terugkomen, dan ligt de oorzaak meestal bij de instellingen van je kaart, bijvoorbeeld een blokkade voor kansspelbetalingen, en die los je via je bank op en niet via de klantenservice van het casino.

Een geslaagde 3DS-controle zegt niets over hoe snel je later uitbetaald krijgt.

3D Secure wordt geregeld verward met KYC. Het verschil is wezenlijk: 3DS controleert of jij de kaarthouder bent bij één betaling, terwijl KYC de identiteitscontrole is die het casino zelf uitvoert op je account, met documenten en een check van je tegenrekening.

Een tweede misverstand gaat over terugboekingen. Na een geslaagde 3DS-controle verschuift de aansprakelijkheid voor fraudegerelateerde chargebacks meestal van het casino naar de uitgevende bank, de zogenaamde liability shift. Dat geldt alleen voor fraudeclaims, waarbij de kaarthouder stelt dat hij de betaling niet heeft gedaan. Voor andere geschillen verschuift er niets, en wie zelf een storting heeft bevestigd in de bankapp, zal bij de bank weinig kunnen beginnen met de bewering dat hij het niet was.

Wat ik lezers vaak zie aannemen, is dat 3DS hun geld beschermt tegen het casino. Dat doet het niet: het beschermt de betaling tegen iemand anders die jouw kaart gebruikt.