10月13日起，不少工行万事达卡持卡人被短信"叫醒"：卡没离身、人没出国，账单上却冒出一笔境外消费。钱先替主人"环游世界"了。小红书微博
这不是个案。9月下旬起，一波境外批量盗刷席卷境内发行的万事达卡：先是中行，留学生群体人手一张的"卓隽卡"重灾，盗刷地集中在巴西圣保罗，土耳其、墨西哥也有零星案例。10月8日，财新报道万事达已联合中行堵上漏洞、撤销异常交易。结果仅仅5天后，盗刷反馈就集中到了工行头上——第二波。小红书财新
卡没离身，怎么就被"撞库"了？
官方原因至今没披露，但技术社区的实测结论让人后背发凉：部分境内银行发行的万事达Apple Pay"设备卡"（虚拟卡号），被配置成可以直接用卡号、有效期、CVV三要素完成无卡支付——有的连CVV都不校验、3DS也不触发，设备卡号随机性又不足，撞库成本极低。更关键的是，这条链路里手机钱包只负责生成设备卡，交易根本不经过手机。小红书微博
一个背景：今年4月起，万事达联合万事网联放开境内万事达卡绑定Apple Pay跨境支付，首批是中行、农行、中信、浦发，7月又加入招行和平安。而去年9月，浦发"无价世界卡"就遭遇过一轮同样指向巴西的集中盗刷。第一财经微博
对照组也有：Visa的系统会直接拒绝设备卡走三要素无卡支付，所以这轮Visa卡的反馈明显少得多。万事达官方的口径则是"主要为巴西收单机构风控导致的风险"。两种说法并存，最终结论只能等调查；但可以确认的是，农行、广发、中信早已封堵这条利用链，中行也在9月27日晚完成修复。小红书财新
同样被盗刷，两种命运
中行等：核实后交易批量撤销、无需还款，还能换卡，由银行协调卡组织赔付。第一财经界面新闻
工行部分持卡人：客服答复交易属"预授权"，无法即时撤销，只能等30天自动取消；期间若入账，需在60日内发起拒付；拒付失败，可能要自己承担——好在盗刷险还能兜个底。小红书
同一张万事达、同一个巴西，待遇差在各行风控和争议处理流程上。这是权益表上不会写的"隐藏权益"。
现在就该做的三件事
盘卡：把钱包里所有境内发行的万事达卡（尤其全币种卡、留学卡）翻出来，逐张检查。
上锁：手机银行打开"账户安全锁"或一键锁卡（工行路径：手机银行App-信用卡-账户安全锁），关闭境外无卡交易、调低境外限额，出国前随用随开；对绑定过的Apple Pay不放心可以先解绑，但中行侧已封堵，不必恐慌。
盯短信：凌晨的境外交易提醒、连续的"支付失败"通知，都说明有人在试你的卡。收到，就先锁卡。
真中招了，记住四步
锁卡→报案→留证→盯时限：一键锁卡止损；打客服声明盗刷、提交争议申请，记下工单号；保存交易截图，就近在ATM或POS做一笔小额交易证明"卡在身上"，必要时报警拿回执。预授权等30天，入账了60天内拒付，一天都别拖。界面新闻小红书
全行业都在缩卡、砍权益的年代，玩卡不止是积分和里程，还得是让手里每张卡都不去圣保罗"上夜班"。今晚睡前，不妨打开手机银行，把那把锁检查一遍。
