En la mayoría de los casos recae en el comerciante, pero dependiendo de la configuración de seguridad también puede recaer sobre el proveedor de servicios de pago o al banco.