8月上半月，连着出了两条和Visa有关的新闻，但说的其实是同一件事：盗刷，比大多数人想的严重。
8月3日，Visa宣布将以24亿美元现金收购以色列反欺诈检测平台BioCatch。东方财富为什么要花这个钱？Visa增值服务部门总裁给出的理由很直白：账户接管和诈骗每年给全球经济造成超过1万亿美元损失，而生成式AI正在让欺诈成本更低、规模更大、迷惑性更强。
8月13日，中泰两国警方同步收网，摧毁多个犯罪窝点，分别抓获4名中国籍和5名泰国籍犯罪嫌疑人，打掉的正是一个专门针对中国公民的重大跨国信用卡盗刷团伙。作案手法并不复杂：犯罪嫌疑人以在泰国开设果干店为幌子，以使用银联卡消费打折为诱饵，非法获取受害人信用卡信息，随后制作伪卡、招募刷手实施盗刷和销赃，查明涉案金额达500余万元。知乎这也是中泰两国警方近年来在打击经济犯罪领域首次同步开展的联合执法行动。
巨头在砸钱，警方在收网，但落到个人头上，今年夏天恰恰是境外盗刷的高发期。在小红书随手一搜，真实受害帖一条接一条。
一位中国银行Visa卡用户在巴黎被线上一次性盗刷1579欧元，卡就在本人身上，盗刷者紧接着想刷第二笔1579欧，因为限额才没成功。小红书
一位工行星座卡用户早上醒来发现被扣409美金，而这张卡从没在境外用过，只在境内给AI订阅付过费。小红书
一位建行Muse卡用户人在澳洲，却收到了美国消费的扣款提醒，后来才发现这张卡被盗刷的概率并不低。小红书
一位在土耳其的旅行者，被"扣款不成功"的POS机复制了卡片信息，对方把卡绑到别人的Uber账户上连刷好几天。小红书
把这些案例、银行客服的处理方式和近两年的司法判例翻了一遍，我想把三件事说清楚：盗刷到底是怎么发生的、现在就能做的三个设置、以及真被刷了之后怎么走才不白亏。
一、境外盗刷的大头，跟"卡被偷"没关系
上面这些案例里，几乎没有人的实体卡丢了。主流剧本是：卡在你身上，钱在线上被刷走。
境外线上无卡交易的门槛比很多人想的低：不少场景下，拿到16位卡号、有效期和卡背三位CVV码，就能完成扣款，相当一部分境外商户不要求短信验证。所以这三样信息任何一个环节泄露，都可能中招：
信息泄露。预订平台、境外电商、商户系统被拖库，都可能让你绑过的卡信息外流。那位工行用户只在境内给AI订阅付过费，安全码照样泄露了。
POS侧录。在土耳其的案例里，一些POS机故意显示"扣款失败"，实际在复制你的卡片信息，之后把卡绑到别人的账户上持续盗刷。小红书这次中泰警方打掉的团伙，走的也是"骗信息—做伪卡—找刷手"的路子，只是前端换成了"打折诱饵"。知乎
钓鱼二次收割。这是最容易被忽略的一种。罗马有个案例：用户刷Visa坐地铁，几小时后收到短信说"1.5欧车票扣款不成功，点链接补交，否则罚款100欧"，吓得点进去把卡信息全填了，回酒店被店员一眼识破是假网站。小红书骗子盯上的就是"扣款不成功"这种让人慌的场景。
至于出国前人手一个的铝箔防磁套，防的是近场隔空挥卡盗刷。这种事不是不可能，但在真实案例里占比很小，不值得把主要防御精力花在套子上。
二、出行前设好这三个开关，五分钟的事
这三个开关基本都在银行App的"卡片管理/安全设置"里，五分钟能全部设完，出发前务必做一次。
开关一：境外无卡交易开关+限额。 巴黎那个案例里，第二笔1579欧被拦下来，靠的就是限额——这就是限额在关键时刻替你止损的样子。近期不打算境外网购的，直接把境外无卡交易开关关掉；要订酒店买门票的，设置单笔、单日限额，用完再锁回去。
开关二：每笔交易实时提醒。 短信加App推送都打开。建行Muse那位用户事后复盘，第一条就是"一定要开启每一笔消费提醒"。盗刷往往先有一笔小额试探，发现得越早，损失越小。
开关三：一键锁卡，用完即锁。 中国银行App里锁卡入口在"我的-我的账户"，选中卡片就能一键锁卡，所有刷卡功能暂停，还能自定义只锁某一类交易。小红书工行、建行、招行也都有类似功能。出境期间保持"境外交易锁"常关，消费前解锁、消费完立刻锁回。留学生群体还有个流传很广的经验：同时办两三张Visa卡分散放，避免一张被盗刷挂失后身在国外无卡可用。知乎另外两个小习惯：卡背CVV码记住后用不透明贴纸盖住，或者直接刮掉；如果发卡行支持线上交易二次验证（高风险交易要输验证码的那种），确认开通。这两招有用，但都只是辅助，主力还是上面三个开关。
三、真被盗刷了：四步止损，顺序别乱
翻案例时发现，不少人亏钱不是因为没处理，而是处理慢了、顺序错了。正确的顺序是这样：
第一步，立刻打客服，把话说全：“卡被他人盗刷，请冻结卡片、登记争议交易、发起拒付调查。” 不要只说"帮我锁个卡"。罗马那位用户咨询时，中行客服明确提示：只是锁卡不够安全，之后发生的不正常交易一概不负责，建议直接挂失。小红书人在国外有时差、网络差，优先打国内客服热线，全程录音或保留聊天记录。
第二步，留证据，证明"人和卡都不在现场"。 保留扣款提醒短信和账单截图；条件允许的话，尽快在附近商户或ATM用这张卡做一次真实操作并保留凭条，让监控拍到你——"人卡同在别处"是争议处理里最硬的证据。
第三步，报警，拿回执。 当地警局报案，回国后也可以补报，报案回执是后续拒付和理赔的重要材料。巴黎案例里，中行客服同样要求用户向法国警方报案。
第四步，发起拒付（chargeback）+申请理赔。 这里有个坑：那位工行用户联系客服时，得到的答复是"等出账单之后才能发起拒付"。小红书遇到这种说法别干等，坚持要求先登记争议交易，同时问清拒付时限和所需材料。另外问一下你这张卡有没有附带盗刷保障：巴黎案例里中行客服提到已报理赔保险。小红书一些卡的权益里也带境外失卡保障，平时没人提，出事了才想起来就晚了。
四、最反常识的一点：盗刷的损失，不全由你扛
很多人被盗刷后自认倒霉，觉得"挂失前损失自负"。但看近两年的司法实践，这个说法站不住：
《最高人民法院关于审理银行卡民事纠纷案件若干问题的规定》第九条的精神很明确：对足以影响持卡人决定是否使用某项功能的交易规则——比如"境外交易可能无需密码或签名"——银行没有充分告知的，持卡人可以请求不承担因此产生的盗刷责任。知乎
银川中院一个二审案例里，持卡人办卡时勾选了"凭密码消费"，银行没告知境外可能免密，卡片境外被盗后短时间连刷八笔，银行只发了短信、没有对异常高频交易有效监控，持卡人提异议后银行仍向商户付款——法院认定银行存在三重过错，判决银行承担60%的损失。知乎
上海浦东法院则直接认定，"挂失前损失由持卡人自担"属于不合理排除持卡人权利的格式条款，不具有法律效力。知乎
但要提醒一句：判例里持卡人被判自担的部分，几乎都栽在"保管不善+发现太晚"上，比如银川案里持卡人自担了40%。所以止损的核心就是一个字：快。冻结、报警、拒付做得越早，责任划分对你越有利，跟银行协商时也越有底气。
最后说两句
Visa过去五年已经投入超过130亿美元用于欺诈技术和相关基础设施建设。东方财富卡组织层面的防线只会越来越强，但这些技术替代不了你自己App里的三个开关，也替代不了出事后的第一时间反应。
近期要出境的，今天花五分钟把三个开关设好；已经在境外遇到异常的，按四步走，别自认倒霉。这套流程希望你永远用不上，但建议先收藏。
