先说结论：这件事和"要不要买iPhone 18"无关，和"你的卡今晚在不在裸奔"有关。
9月12日晚8点，iPhone 18 Pro和Pro Max在香港官网开启预购。 抢到的人在晒订单，没抢到的人里，有一批收到了更刺激的东西——银行短信，“无卡支付，13,299港元”。他们压根没下过单。微博
香港KOL司徒夹带一晚上收到恒生银行至少6条这样的短信，每条13,299港元，对上了iPhone 18 Pro Max 512GB一档的售价。 到13日凌晨，类似帖子越滚越多：有人被盗刷累计超过6万港元，报案金额里10,499、11,499、13,299反复出现——全是新机的价格档位，盗刷的钱一分没浪费，全部拿去抢购iPhone了。小红书
数字两天滚了两轮：13日警方通报超700人报案、涉案约1470万港元、最大单宗约11.4万港元，案件列"以欺骗手段取得财产"。 到14日下午5点，报案数变成1209人，涉案金额约2500万港元。 中招的不止一家银行——汇丰、渣打、中银香港三家发钞行加恒生，香港主流大行几乎全在名单里。小红书微博
最让人后背发凉的，是警方的定性
14日晚发布会，香港网罪科科技罪案组的说法很直白：相关银行和公司的系统运作正常，暂时不涉及网络攻击。第一财经
那1209个人是怎么被刷的？警方的调查结论是：涉案的预购交易无须经过一次性短信验证码（OTP）或其他认证方式，付款过程不用持卡人确认也能完成。 翻译成人话：骗子手里有一批泄露的卡号+有效期+CVV（卡背面那三位数），拿到"免验证"的商户通道上，就能直接把钱划走。你不需要点钓鱼链接，不需要中木马，不需要把卡借给任何人——你的卡信息只要进了黑产数据库，你就是候选人。第一财经
为什么会免验证？渣打和汇丰的回应里都有一句关键的话：银行为商户网上交易提供3-D Secure（3DS）额外认证，但是否采用由商户决定。 社区的主流推测也一致：为了抢购高峰的下单流畅度，预购通道的验证被松绑了——“抢购不卡顿"和"支付不设防”，这一次是同一件事。第一财经
而且这不是第一次。去年9月iPhone 17预售后，也发生过类似事件。 首发新机溢价高、转手就回血，是黑产最喜欢的销赃标的——微博评论区一句话说得很透：新机溢价太高，成了黑产盗刷销赃的目标。第一财经微博
内地用户要不要慌？分三种情况
第一种：国行官网或京东、拼多多预购，用支付宝、微信、银联分期付款的。这次的盗刷通道是境外网站的信用卡"无卡支付"（卡号+CVV直接扣款），你走的不是这条路，风险很低，不用自己吓自己。
第二种：手里有Visa/万事达双币信用卡的。你的卡和香港受害者用的是同一套全球无卡支付规则。小红书上这类帖子一直没断过：有人在巴西被盗刷，立马报告银行、也去了警局报案，只得到客服一句"处理不了"。 也有人人在家中坐，晚上十点半突然收到一条扣款信息，一笔13,879.91元的交易就没了，极限追了7天才追回。 香港这波只是把平时零星发生的事，集中演了一遍给你看。小红书小红书
第三种：人在香港、持有香港银行卡的。不用多说，直接看下面第三节的止损清单。
先看银行那边。这次几大行的口径出奇一致：
渣打香港：发现未授权交易尽快通知银行并报警，可透过网上理财或SC Mobile实时锁卡；经调查确认未经持卡人授权，毋须承担相关款项；
汇丰：可透过App或热线暂停信用卡，按信用卡组织规则启动退单机制；合理谨慎用卡并及时通报的，协助完成退款；
中银香港：登入手机银行封锁信用卡，或经在线客服/热线暂停并提出争议交易申请；经核实为未授权的交易，客户毋须承担责任。
划重点：“及时通报"是免担责的前提条件——汇丰的原话是"合理和谨慎地使用信用卡并及时通报，将协助完成退款程序”。 这也是为什么发现异常后的第一个小时最值钱。第一财经
分人群清单：今晚到9·18国行开卖前
你没抢购、也没中招（大多数人）
打开发卡行App，搜"境外交易"或"无卡支付"，没有出境和海淘计划的，把这个权限关掉——平安银行的官方建议就是这句：不泄露密码、验证码、CVV码，无出境计划时关闭境外交易权限。 每个银行App都能关。微博
把信用卡提醒从"月账单"改成"每笔交易即时短信或推送"。这次香港受害者几乎全是靠短信第一时间发现的，拖到账单日才看到的人，举证难度完全不是一个量级。
CVV码不要拍照存相册、不要发给任何"客服"。骗子这次能得手，靠的就是"卡号+CVV"这个最小组合。
还不放心的话，给常备卡设一个每日交易限额。小红书评论区的高赞是句玩笑话：“没事，我的额度根本不够买果子”——额度不够，确实是天然的防盗刷限额。
你发现自己被刷了
社区流传的"黄金三步"方向是对的，顺序别错：
立刻锁卡或挂失（App实时锁最快，热线会排队——香港这次不少受害者就卡在热线排队上）；
联系苹果官方客服取消订单。注意一个关键窗口：目前新机仅处于预售阶段，在手机正式发货前Apple通常不会真正完成扣款，你仍有足够时间及时止蚀——这是社区和香港本地帖子的经验口径，不是官方承诺，但意味着在发货前处理掉，大概率不用走漫长的退单流程。小红书
报警备案。内地持卡人再补一手人民日报转发过的取证动作：去最近的ATM做一笔存取款或查询，保存凭条，证明"卡未离身"——这是后续跟银行交涉甚至诉讼时最硬的证据。 然后打印流水、拿立案回执，跟发卡行走拒付流程。微博
你正常预购了、货还没到、正在纠结"要不要先锁卡"
这是评论区里最真实的一批人：有人首发用Visa付了款、扣款信息还没来，怕自己成为下一批受害者，又怕锁了卡影响自己订单的正常扣款。
判断方法很简单：看扣款商户和金额对不对得上你的订单。你自己的订单扣款，商户是Apple、金额是你买的那一档售价、时间在你下单前后；盗刷的特征是"没下过单却出现Apple的无卡支付扣款"，或者一晚上来好几笔同价位。对得上的，别乱锁；对不上的，按上一节的流程走。
另外一个反常识的点：这次"苹果的锅"和"银行的锅"其实都不成立——警方说了系统正常、不涉及网络攻击，银行提供了3DS但商户可以不用。真正的漏洞是"泄露的卡信息+免验证通道"这个组合。所以恐慌性销卡没必要，把境外无卡支付权限关掉、盯紧每笔交易提醒，就已经堵上了这次被利用的口子。
值得继续盯的三个信号
苹果会不会在9·18国行开卖、以及后续iPhone Duo开售前收紧OTP验证——去年17之后没改，今年再不改，说明这个通道对它来说仍是"抢购流畅度"优先；
发卡行的退单处理时效：1209宗、2500万港元压到几大行头上，"毋须承担"从承诺到钱回来要多久，香港媒体会持续追；
双11前的抢购季：这套"泄露卡信息+免验证通道+高溢价硬通货"的打法，下一个标的可以是任何一台首发溢价的新机，也可以是显卡和游戏主机。
最后说句实在的：1209个人里，绝大部分钱最后能追回来——几家银行都白纸黑字写了未授权交易免担责。但这件事真正的成本是时间、热线排队和接下来几周跟银行拉扯的精力。今晚花五分钟把境外无卡支付关了，比中招后花五个星期维权，划算得多。
