Card Security Code (CSC, także CVV2 – Card Verification Value 2 i CVC2 – Card Verification Code 2) to funkcja zabezpieczająca dla transakcji kartą, wprowadzona w celu ograniczenia występowania oszustw związanych z kartami kredytowymi.

CSC jest dodatkiem do numeru karty bankowej, która jest wytłoczona lub wydrukowana na karcie. CSC jest używany jako funkcja bezpieczeństwa w sytuacjach, w których nie można użyć kodu PIN. Kod PIN nie jest drukowany ani osadzany na karcie, ale jest wprowadzany ręcznie przez posiadacza karty podczas transakcji w punkcie sprzedaży. Karty bezdotykowe i karty chipowe mogą elektronicznie generować własny kod, taki jak iCVV lub dynamiczny CVV.

CSC został pierwotnie opracowany w Wielkiej Brytanii jako 11-znakowy kod alfanumeryczny autorstwa pracownika Equifax, Michaela Stone’a w 1995 r. Po testach w grupie Littlewoods Home Shopping i banku NatWest, koncepcja została przyjęta przez APACS (brytyjskie stowarzyszenie zajmujące się rozliczaniem płatności) i usprawniona do trzycyfrowego kodu znanego dzisiaj. Mastercard rozpoczął wydawanie numerów CVC2 w 1997 r., A Visa w Stanach Zjednoczonych wprowadziła je w 2001 r.

Kod CVV2 (ang. Card Verification Value 2) – skrót nazwy 3-cyfrowego kodu służącego do weryfikacji, czy osoba posługująca się kartą płatniczą jest jej prawowitym posiadaczem. Skrót używany przez Visa.

Kod CVC2 (ang. Card Verification Code 2) – skrót nazwy 3-cyfrowego kodu służącego do weryfikacji transakcji zdalnych na kartach Mastercard.

Card Security Code to zwykle trzy lub cztery ostatnie cyfry wydrukowane, bez wytłoczenia, takie jak numer karty, na pasku podpisu z tyłu karty. Kod zabezpieczający kartę nie jest kodowany na pasku magnetycznym, ale jest wydrukowany na płasko. Nowe karty MasterCard i Visa posiadają kod w osobnym panelu po prawej stronie paska podpisu^[1]. Zostało to zrobione, aby zapobiec zamazaniu numerów poprzez podpisanie karty.

Według organizacji Visa – ze względów bezpieczeństwa sprzedawcy, którzy wymagają karty CVV2 do „nieobecności karty” przy transakcjach kartami płatniczymi, są zobowiązani przez wystawcę karty do nie zapisywania numeru CVV2 po autoryzowaniu pojedynczej transakcji^[2]. W ten sposób, jeśli baza danych transakcji zostanie naruszona, CVV2 nie jest zawarty, a numery skradzionych kart są mniej przydatne. Terminale wirtualne i bramki płatnicze nie przechowują kodu CVV2, dlatego pracownicy i przedstawiciele obsługi klienta, którzy mają dostęp do internetowych interfejsów płatności, którzy w przeciwnym razie mają dostęp do pełnych numerów kart, dat wygaśnięcia i innych informacji, nadal nie mają kodu CVV2.

• Kod CVV