Утка-маляр, в том-то и дело, что использовать или нет 3D Secure -- это выбор интернет-магазина. Большинство используют, некоторые -- не запрашивают даже CVC/CVV (как тот же Амазон и еще всякие мутные конторы типа букмекерских (в моем случае шли смски от BET WITH CONFIDENCE LLC).
Сбербанк (не знаю, как другие банки) смотрит на это сквозь пальцы. Я после произошедшего пытался выяснить у оператора 900, нельзя ли вообще заблокировать платежи без 3D Secure, мне ответили, что такой возможности нет.