明天就是国庆，机场里一半人刚换好境外流量包。过去五天，信用卡圈最热的不是汇率，是盗刷：9 月 26 日起，多名中行卓隽卡、长城卡持卡人凌晨收到境外扣款短信——实体卡人在国内，钱却在巴西、乌拉圭被刷走。9 月 29 日，涉事交易被撤销、持卡人无需还款的消息经媒体确认，中行主动致电并对接换卡。 万事达方面同日回应称"此事已经解决"，界面新闻从知情人士处获悉本轮涉事客户资金均已得到保障。微博微博知乎
于是社区里一波"出发前恐慌"：评论区最多的一句话是"别管啥卡，先锁了再说"。但这五天 40 多篇帖子、微博热搜和两家财经媒体报道对着翻完，结论没那么简单：这波集中盗刷的公开信息里没有 Visa 卡组织的实锤涉事，但你的 Visa 卡风险面并不因此归零；而"锁卡"锁错地方、锁错时机，代价可能比风险本身更实在。 出发前 48 小时，三个问题值得先想清楚：我在不在风险面里、锁什么、真被刷了怎么追钱。
一、先把事实放平：这波刷了什么、撤没撤
涉事卡：最早从中国银行卓隽、长城系列曝出，此后涉事银行从一家扩展到中行、招行、农行等多家。 被信用卡社群反复引用的 DocOfCard 说法更直接——本轮疑似仅出现在万事网联 Apple Pay 设备卡。知乎知乎
特征：渠道显示 Apple Pay 设备卡，盗刷币种多为巴西里亚尔或乌拉圭比索。 2025 年 9 月浦发那轮同型盗刷，金额多集中在 4900 雷亚尔上下；相隔一年，特征复刻，涉事方扩大。微博
原因仍未官宣：中行、万事达、苹果三方均未确认链路。业内分析认为 Apple Pay 令牌化没有证据被攻破，风险更可能出在绑卡、银行侧数据或卡组织清算环节； 而境外线上交易无需核验实体卡和交易密码，仅凭卡号、有效期、CVV 安全码即可完成扣款，信息一旦被撞库窃取，极易被批量盗刷。
二、反直觉：没点到 Visa ≠ Visa 不在风险面上
把镜头拉到今年 7-9 月，Visa 卡的散点盗刷一直没断，机制和这波是同一套。9 月 26 日当天，就有"农行 Visa 到吉隆坡还没用就被盗刷""招行持卡人 Apple Pay 里凭空出现巴西超市消费"的帖子。 更早还有中行 Visa 持卡人半夜被连刷 54 笔小额，收到短信第一时间就冻卡挂失。小红书小红书小红书
最扎心的是光大持卡人——60000 日元、两分钟 6 笔大额交易，前三笔直接清空信用卡额度 3 万元，第四五笔因额度不够被拒，第六笔因他锁卡被拒。 这些帖子的共同点与中行这波完全重合：卡没离身、没在境外、走线上或 Apple Pay 无卡渠道。小红书
所以别问"我是不是 Visa"，问三个具体问题：这张卡绑没绑过 Apple Pay、PayPal、海淘和订阅网站？最近刷没刷过境外网站（今年多数案例是消费回国后一两周才被刷）？开没开逐笔实时提醒？
三、"出发前锁卡"这话，一半对一半是坑
误判一：开了境外锁就没事。 5 月有工行持卡人发帖"早就开了境外锁，还是被莫名其妙扣款了"。 银行 App 里"境外无卡支付"“境外小额免密”"实体卡境外交易"往往是分开的开关。出发前要做的不是锁整卡，而是逐项确认和你行程冲突的那两个。小红书
误判二：锁卡没有代价。 新加坡、日本不少地铁是拍卡进站、次日清晨延迟扣款：今年 2、3 月都有人晚上怕盗刷锁了卡，第二天凌晨扣款失败。 酒店预授权、租车押金同理。正确顺序是：出发前锁"境外线上/无卡交易"、保留拍卡，回国落地后再做整套"收官锁"——今年绝大多数散点盗刷，恰恰发生在你回家之后。小红书
误判三：被刷了银行会主动找你。 招行持卡人钱包在飞机上被偷后，被盗刷后银行主动联系持卡人确认是否本人交易，没接通也不放行，最后全部拦截、零损失。小红书
而同一时间的光大，事后只肯提供 1 万元失卡保障，前提是签协议承诺不再投诉、不再诉讼，超过 45 天也不再受理，甚至拒绝按照 Visa 规则发起交易争议。 风控灵敏度和争议支持力度，完全取决于发卡行。 出发前花两分钟查清你那张卡的失卡保障条款和争议入口。小红书
四、真被刷，追钱的顺序别乱
银行侧给出的标准处置是：第一时间锁卡止付，通过 ATM 机操作留存卡片在本人手中的凭证，报案留存回执，配合提交出入境记录等不在场证明材料；可疑盗刷交易挂账处理、暂时不计入信用卡账单。 记住五个动作：①App 锁卡止付+电话报备，锁卡永远先于沟通；②就近用这张卡做一次 ATM 查询或小额交易，留凭条当"卡在身上"的硬证据；③报警拿回执；④对争议交易要求挂账。争议结论出来前，不必急着为这笔争议交易还款。 ⑤盯时间窗——有银行受理窗口只有 45 天，按已中招持卡人的说法追回周期"两个多月起步"，银行拖着不发起争议就书面投诉，必要时打 12378 留痕。知乎知乎
五、国庆这几天，继续盯三个信号
中行/万事达/苹果对原因的最终通报（若指向绑卡或清算环节，Visa 暴露面要重估）；手法是否从万事达迁移到 Visa（2025.9 浦发一轮、2026.9 中行招行农行一轮，特征复刻、涉事扩大）；以及 2025 年 11 月实施的《银行卡清算机构管理办法》要求万事网联等清算机构承担跨机构风险监测、信息共享、风险阻断的责任——这一轮正是新规成色的第一次实弹。知乎
一句话收束：这波盗刷目前没点到你的 Visa 卡，但"卡没离身也会被刷"这个认知升级对所有卡都成立。锁对开关、开足提醒、存好争议入口；回国落地那天，再做一次收官锁。
