10月17日从意大利回国，19日凌晨，手机弹出一笔1200多加元的预授权，折合人民币六千多。小红书
卡在钱包里，人已经到家，交易却发生在境外线上。她给卡设过POS金额限制，没想到预授权能绕过限制做无卡交易。
银行说，预授权拦不住，冻结的额度会划走；想追回，只能等实际扣款后走拒付，周期30到60天。
好在这笔预授权当晚被撤销了。不是每个人都能等到这个结果。
2024年10月8日，另一位持卡人正在上班，手机收到消费提示：三笔韩元、一笔新台币，合计9万多人民币。卡放在家里，人在工位，显然不是自己刷的。
他先一键锁卡，再联系客服。银行启动争议金，10月11日，四笔盗刷资金原路退回。小红书
这些经历指向同一个问题：Visa卡为什么可以不用密码，就把钱刷走？
答案不在技术，在责任。Visa体系里，卡号、有效期、背面的CVV，本来就不是验证手段，而是身份凭证。谁拿到这三样，系统就默认他是持卡人。知乎
所以它不设密码，是因为盗刷损失基本不由持卡人承担。持卡人发现异常，发起拒付，钱先退回来，再由银行找商户举证：交易是不是本人授权、签名对不对、地址是否一致。举证责任在商户那头。知乎
商户会比银行更急着上风控。加一道密码，反而等于把责任往持卡人身上推一步：密码是你输的，那算不算你的问题？
后来补上的3D验证，补的也是责任划分。境外网站付款时跳出的验证页，发短信或让银行App确认；验证通过，盗刷损失由发卡行承担，没通过或者商户没接这个验证，损失商户自己扛。
所以有些网站明明能直接刷卡，偏偏要多跳一步。知乎
这套规则听起来对持卡人有利，但它有个前提：你得证明“这不是我刷的”。证明不了，或者流程走不通，责任就会落回你身上。
2024年11月21日，日本大阪，两张Visa卡被偷，建行刷了3万多，工行1万多。回国后提交材料申请拒付，2025年3月，工行的两笔盗刷还是从他卡里划走了，客服说拒付失败，钱得自己还。小红书
账户安全险也有门槛：盗刷前一段时间内卡上要有消费，他刚好没有。最后是保险赔的，4月29日到账，离被盗刷已经过去半年。
同样是盗刷，为什么有人几天拿回钱，有人半年还在追？关键在通道和证据。
线上无卡盗刷，卡号、有效期、CVV就能完成交易。银行调单时，商户往往拿不出授权证据；卡被偷后的实体刷卡，商户能拿出签名、监控、POS记录，拒付就容易卡住。知乎第一财经
卡在身边，也可能被线上盗刷。巴黎一位持卡人，卡一直在身上，却被刷了1579欧元，第二笔同样金额因为限额没成功。她报了法国警察，也报了理赔保险。小红书
比大额盗刷更隐蔽的是小额多笔。有人收到招行短信，一笔34.8英镑的境外交易被拦截，金额正好卡在300元小额免锁的范围内。如果开了小额免密，这类交易可以一笔笔刷下去。小红书
很多人只开了大额提醒，小额扣款收不到通知，等发现时钱已经跨境转走。
常见手法是凌晨拆分多笔小额，避开大额风控；有的还会设置呼叫转移，拦截银行的核实电话。小红书
绑Apple Pay会安全一些。Visa的支付标记化不会把真实卡号存在手机或Apple服务器上，而是生成一个只对特定设备、商户或支付类型有效的设备账号。
这个账号泄露了也不能直接拿去刷，钱包服务商或发卡行还可以随时停用。第一财经
但它不是万能药。2026年9月万事达卡境外批量盗刷中，多数卡片绑过Apple Pay，目前没有权威信息证明盗刷与绑卡有关，标记化保护为什么没起作用也还不清楚。第一财经
真正能减少麻烦的，是出国前把几个开关关掉。
最有用的是“境外无卡交易”锁。不出境、不海淘时直接关掉；要用时临时打开，用完再关。小红书
其次是“小额免密/免签”，能关就关，不能关就把限额调到最低。夜间交易锁也值得开，23点到次日6点禁止交易，能挡住大部分凌晨批量盗刷。
出境前再打开“境外交易锁”和“境外POS/ATM”，回国立刻锁回去。平时用一张额度较低的卡专门走境外线上支付，别拿主卡绑各种网站。CVV那三位数用不透明贴纸盖住，卡不离视线。
如果能开3D验证，也开起来。多数银行App里叫“境外交易验证”或“安全验证”。知乎
万一还是中招，顺序别乱：先在App里一键锁卡，再打客服冻结；截图保存所有交易提醒；尽快在附近商户或ATM做一笔交易，留好凭条，证明卡在本人手里；在当地报警，拿到报案回执。第一财经
预授权被刷的话，先别慌。它通常30天自动解冻，但银行不一定能中途拦截，实际扣款后要马上发起拒付。小红书
Visa的“无密码”不是漏洞，是一套把风险压在银行和商户身上的老规则。它保护的是“能被证明不是你刷的”那部分交易。
你能做的，是让这个证明更容易成立，也让盗刷发生的机会更少。
