BIN карты

Как читается номер карты

Номер карты, он же PAN (Primary Account Number), — не случайный набор цифр, а структура, описанная стандартом ISO/IEC 7812. Длина от 8 до 19 знаков; у карт Visa, Mastercard и Мир это обычно 16 цифр, у American Express — 15. Номер делится на три части: идентификатор эмитента, индивидуальный номер счёта внутри эмитента и одна контрольная цифра в конце.

Первая часть и есть BIN — Bank Identification Number, банковский идентификационный номер. Первая цифра называется MII, главный отраслевой идентификатор: 4 закреплена за Visa, диапазоны 51–55 и 2221–2720 за Mastercard, 34 и 37 за American Express, 62 за UnionPay, 35 за JCB. Российская платёжная система Мир занимает диапазон 2200–2204. По первым цифрам эквайер понимает бренд карты ещё до отправки запроса на авторизацию — именно поэтому логотип платёжной системы подсвечивается в форме оплаты сразу после ввода нескольких знаков.

Последняя цифра PAN — контрольная, она считается по алгоритму Луна: цифры с конца через одну удваиваются, значения больше девяти уменьшаются на девять, вся сумма должна делиться на 10 без остатка. Проверка ловит одиночные опечатки и большинство перестановок соседних цифр, поэтому платёжная форма отбивает неверный номер локально, не тратя запрос к банку. Существование карты алгоритм не подтверждает: сгенерировать корректный по Луну, но несуществующий номер тривиально.

Переход с шести знаков на восемь

Исторически BIN занимал шесть цифр, что давало миллион комбинаций на все платёжные системы мира. К середине десятых годов ресурс подошёл к исчерпанию, и редакция ISO/IEC 7812-1 2017 года зафиксировала переход на восьмизначный идентификатор эмитента — IIN. Международные платёжные системы установили целевым сроком апрель 2022 года, после чего новые диапазоны выдаются восьмизначными.

Для бизнеса это не косметическое изменение. Всё, что опиралось на шестизначный ключ, требует пересмотра: таблицы маршрутизации, правила антифрода, программы лояльности, привязанные к диапазону эмитента, отчётность по комиссиям. Опасный сценарий — когда старая логика считает первые шесть цифр по восьмизначному диапазону и склеивает в одну группу карты двух разных банков, поделивших общий шестизначный префикс. Ошибка проявляется не сразу и выглядит как «странная» статистика отказов по одному эмитенту.

Отдельно нужно помнить: длина IIN и длина маскируемой части — разные вещи. Правила отображения номера привязаны к требованиям безопасности и обновляются собственным порядком, поэтому переход на восемь знаков не даёт автоматического права показывать восемь цифр покупателю.

Зачем BIN нужен бизнесу

Первое применение — маршрутизация. У магазина может быть несколько эквайеров и несколько способов приёма оплаты; по BIN платёжный шлюз решает, куда отправить транзакцию, чтобы получить лучшую ставку или больший процент одобрений. Тот же механизм работает в каскадировании: при отказе одного провайдера операция повторяется через другого, если правила для этого диапазона позволяют.

Второе — антифрод. BIN даёт страну эмитента и тип продукта: дебетовая, кредитная, предоплаченная, виртуальная, корпоративная, премиальная. Несовпадение страны выпуска карты со страной по IP-адресу, доставка в один регион при карте из другого, серия попыток с разными картами одного узкого диапазона — типовые признаки в скоринге. Ни один из них сам по себе не блокирует платёж, но в сумме поднимает риск-балл и включает дополнительную проверку 3-D Secure.

Третье — экономика. Ставка межбанковской комиссии зависит от типа карты и категории торговой точки; премиальные и корпоративные карты дороже классических. Магазин видит эту разницу в отчётах эквайера и может, например, не предлагать рассрочку по диапазонам, где издержки выше. Категорию самой торговой точки при этом задаёт MCC-код, и вместе с BIN он определяет итоговую стоимость приёма платежа. Часть бизнеса поэтому уводит долю оборота в схемы без карточных реквизитов вовсе — сравнение подходов разобрано в материале оплата картой по QR-коду и через СБП.

Что можно хранить и показывать

BIN не является тайной: он идентифицирует банк, а не человека, и BIN-таблицы свободно продаются как коммерческие базы данных. Тайной является полный PAN вместе с сопутствующими данными, и здесь действует стандарт PCI DSS. Он допускает отображение усечённого номера — традиционно первые шесть и последние четыре цифры, с расширением до восьми первых знаков при обоснованной деловой необходимости. Всё остальное маскируется.

Хранить полный номер можно только в нечитаемом виде — со стойким шифрованием, токенизацией или необратимым преобразованием — и только при реальной потребности. Три цифры с оборота карты хранить запрещено вовсе, даже зашифрованными, о чём подробнее в статье про CVV-код. ПИН-код и данные магнитной полосы после авторизации тоже не сохраняются.

Практический вывод для интернет-магазина: не тащить карточные данные к себе. Форму оплаты отдаёт эквайер на своей стороне, магазин получает обратно токен и усечённый номер вида «553691 •••• 1234». Для разовых счетов удобнее вообще не строить свою форму, а выставлять платёжную ссылку или QR — тогда карточные реквизиты не проходят через инфраструктуру продавца ни секунды, и область действия требований PCI DSS резко сужается.

Частые вопросы