万事达境外盗刷潮撞上返程高峰：绑了Apple Pay的中信卡，要不要解绑？先查这3个开关

10月8日，双节出境潮刚收尾，很多人行李还没归位，先等来的可能是卡圈的一条惊魂消息：9月末，境内多家银行发行的万事达信用卡集中出现境外盗刷。 到今天，这个事件还挂在热搜式讨论里；小红书上中行万事达盗刷的帖子攒了2400多赞，招行被盗刷的帖子1300多赞，卡友群里两极分化：一边是被撤销退款的"虚惊一场"，一边是连夜把Apple Pay解绑的"宁可信其有"。第一财经

而有一群人处境最微妙：中信的卡民。两大卡组织的Apple Pay跨境功能，他们都是最早绑上的那批，但这次官方通报的"重灾名单"里又找不到中信——慌什么？不慌什么？这篇把事实、传言和你该动的开关分开说。

一、9月末到底发生了什么：谁被刷了，拦住了多少

按时间线捋，全部来自可核实的公开信源：

• 9月26日凌晨起，多名中国银行万事达卡（以长城卓隽系列为主）持卡人在社交平台反馈出现未经授权的境外交易，币种集中在巴西雷亚尔、英镑，账单里很多笔指向绑定了Apple Pay的卡。随后个别招行、农行持卡人发布类似异常交易帖。东方财富网

• 9月28日，第一财经报道事件涉及中行等多家发卡行，中行客服表态：经确认属实的盗刷由该行协调万事达卡赔付，相应资金持卡人无须还款；部分交易已被风控拦截。

• 9月29日，界面新闻等跟进，发卡行陆续致电受影响持卡人撤销异常交易、沟通换卡，万事达卡方面给出"此事已经解决"的口径。界面新闻

• 10月8日（今天），财新最新跟进给出定量口径：这轮主要受害者是中行万事达信用卡，中行有效拦截了近一半，招行、农行基本全部拦截；风险源头主要指向巴西收单机构的风控，卡组织与发卡行已排查交易路径、堵上漏洞并撤销异常交易。财新

中信卡民在这张名单的哪里？ 官方通报和本轮社区集中爆料中，均未出现中信被批量盗刷的记录。但零散个案确实存在：7月有卡友晒出中信万事达卡因订阅ChatGPT后忘记关闭境外支付，被"先小额试探再刷大额"式盗刷（该帖221赞）。 更早的2025年8月，一张中信万事达借记卡被刷美元，卡主最后靠投诉升级到客户经理，第二天早上才收到退款。小红书

先给结论：这轮盗刷击穿的不是"Apple Pay"，而中信持卡人真正要做的也不是连夜解绑，是把卡上的开关摆到对的位置。

二、账单写着"Apple Pay"，不等于Apple Pay被攻破

恐慌的起点，是"绑了手机支付的卡被盗了"这句观感。但把技术链条摊开看，它和直觉相反。

Apple Pay绑卡走的是支付标记化：你添加到钱包的不是真实卡号，而是一个设备专属的DPAN账号，实体卡号既不存储在手机上，也不存储在Apple服务器上；正常一笔Apple Pay交易还要带设备认证（面容ID/触控ID）生成的动态密码。被攻破这道流程，理论难度远高于抄走一组卡号。

被盗刷帖下被收藏505次的高赞技术分析给出的推测攻击链是：卡信息（含DPAN、有效期等）从服务器、日志等渠道泄露后，并不走Apple Pay通道，而是被恶意或被攻陷的商户伪装成普通电商无卡交易提交——收单风控薄弱的那一环（本轮被点名的巴西收单）放行后就成功了。也就是说，账单上出现Apple Pay字样，可能只是"泄露的是一张绑过AP的卡的卡号"，而非"AP本身漏了"。

反证也齐：本轮有持卡人反馈自己根本没绑过Apple Pay照样出现异常交易。这条恰恰支撑同一个结论——真正的风险面是"境外无卡/线上交易"这个开关加卡信息泄露，绑定本身不是原罪。 一个佐证是发卡行的动作：界面新闻9月29日报道，多家银行采取的集中风控措施是暂停相关Apple Pay渠道交易、逐户联系受影响客户——管的是交易通道，不是让你去解绑。 证据边界同样要说清：攻击链目前仍是卡友技术分析与媒体归因，卡组织和监管尚无最终定性的调查披露，别把推测当定论。界面新闻

三、为什么偏偏建议中信卡民做一次"体检"

横向比完事件，再看自己这张卡的暴露面——中信的画像在卡圈是独一份：

1. 两大卡组织的Apple Pay跨境首发名单，中信都在，而且覆盖面最全。 2026年1月15日Visa支持绑卡首发的8家银行里有中信，且是名单里唯一同步开放Visa借记卡的。 4月16日万事达Apple Pay跨境上线，首发四家（中行、农行、中信、浦发），中信又是信用卡、借记卡同时开通，7月才新增招行、平安。 当天社区的原话是"目前唯一一家支持储蓄卡的"。微博第一财经

2. 便利的"特权"等于暴露的"面积"。 最早尝鲜境外拍卡、海淘订阅的一批人里，中信占比天然最高。谣言一周，最先被吓到解绑的也恰好是这批人——但对照第一节，本轮批量盗刷的重灾名单里恰恰没有中信，解绑换来的只有便利损失。

3. 中信卡民的两端真实痛点，比"盗不盗刷"更日常。 一端是借记卡被刷的成本结构：7月那个帖子的吐槽很典型——卡里挂的是自己的现金，客服要求先挂失（40元）再回办卡网点签拒付声明，而拒付官方反馈周期一般在30-45个工作日（2024年11月一位被刷1849欧的卡友记录）。小额损失和维权成本经常倒挂，评论区给出的最实在策略是："可以不留美元在卡里，一直现用现转。"另一端是风控矫枉过正：9月30日有卡友在冰岛转机时被中信信用卡突然临时止付、银行没电话核实；5月底有人在欧洲按教程打开小额免密照样刷不了AP；去年7月黑貔貅借记卡境外3DS死活过不了。全锁死，你可能先冻死在境外。

四、回家自查：这3个开关，按你的状态设

中信银行App"个人中心→安全中心→一键锁卡"是这一轮最该被重新认识的入口：境内、境外可以分开锁，刷卡交易、无卡交易可以分开锁，境外甚至能细到"每日锁定时段+锁定到期日+可用国家/地区"。对照三种状态动手：

三个补充细节，都是社区踩坑帖里的高频提醒：锁卡不需要验证码、人在境外解锁时需要收短信验证码（提前开国际漫游）；万事达双币借记卡（貔貅、理财宝、暗黑破坏神联名这些系列）的境外线上通道建议默认上锁，那是"6月就被反复提醒但总有人没锁"的口子；解绑Apple Pay不解决任何安全问题，该关的是开关而不是通道。

五、如果真被刷了：24小时三步走

1. 立刻App锁卡/挂失，固定"卡和人在境内"的证据链：就近ATM打一张凭条、便利店买瓶水留交易记录、派出所报案拿回执——这几样是银行处理盗刷的标配要求，晚补就没了。

2. 打客服发起拒付。信用卡常规走锁卡+声明；借记卡可能要求先挂失再去网点签拒付声明，金额极小的话，先权衡40元挂失费和回网点的成本，走客服/投诉通道往往比挂失快——去年8月那位借记卡卡友就是升级到客户经理后隔天见退款。处理期间对"无须还款"的答复尽量留录音或工单号。

3. 还款压力先放下：本轮中行、招行等对确认盗刷的交易均执行撤销、客户无须还款；财新报道的行业规则是发卡行先行赔付持卡人，再由卡组织与收单机构按争端解决规则分摊责任。财新

接下来值得盯的信号：万事达或监管对巴西收单责任划分的正式披露；年底大促海淘潮前，各家发卡行是否收紧境外无卡默认开关；以及中信是否会公开其Apple Pay借记卡在本轮事件中的拦截与拒付时效口径——目前这些都是空白，别被任何"官方已定论"的截图带节奏。

你的中信卡现在是"全锁"还是"裸奔"？境外被止付、拒付追回的，评论区说下经历，给下一个准备出国的人省点学费。