万事达卡又遭境外盗刷：钱能退回，但取决于你前一小时做对什么
凌晨两点，手机弹一条交易提醒：巴西，3000雷亚尔。人躺在国内床上，卡就在钱包里。
这不是段子。9月26日前后，多家银行的万事达信用卡持卡人集中遭遇境外盗刷，交易地点集中在巴西、乌拉圭、巴拉圭，不少人卡片全程未离身。威胁猎人统计的143笔可疑交易里，27笔英镑交易有25笔不超过1英镑——那是黑产在测卡能不能用。知乎东方财富网知乎
一年前，浦发的万事达卡也出过几乎相同的事，同样在巴西。这不是你的卡被谁偷看了，是一批号段被系统性撞库——黑产疑似摸透了部分号段的发卡编码规律，批量生成卡号去试。漏洞指向境外"三要素无卡支付"：卡号、有效期、CVV凑齐就能扣款，不需要实体卡和密码。威胁猎人研判，攻击者疑似把Apple Pay的设备卡号当成普通卡号，塞进了无卡支付通道。目前没有权威结论，Apple Pay的令牌化机制也没有证据被攻破。原因可以慢慢查，对持卡人来说，更要紧的是钱怎么处理。东方财富网知乎知乎知乎
银行说的"撤销、无需还款"，是什么意思
9月28日起，中行等多家银行陆续致电持卡人：交易撤销，无需还款。很多人松了口气，但没弄懂自己凭什么被豁免。知乎微博
还没入账的，只是预授权挂在那里，银行直接撤掉，等于没发生过。已经入账的，银行先挂账——不计入当期应还，也不算逾期，再走境外那套"拒付"流程。拒付把举证责任倒了过来：不再由你证明"不是我刷的"，而是由商户和收单行证明"这笔交易经过授权"。你及时报案、拿得出卡在境内的证据，拒付就更容易成立。知乎
也就是说，兜底机制是管用的，前提是你要把流程走对。
银行不会替你把流程走完
10月下旬，有位卡友的工行信用卡被盗刷22598港元，人在国内、卡在手上。他打了5次客服电话没有实质进展，账单出账后银行才在他主动要求下启动拒付，审核还要1—3个月。这不是9月底那场万事达批量盗刷，但维权逻辑是一样的。小红书
争议处理要你主动申报才能启动，不是银行自动兜底的义务。你不动，流程就停在原地。
遇到那条凌晨的交易提醒，顺序别错：
第一步，立刻锁卡。App里的一键锁卡先断掉后续盗刷，再打客服电话。知乎
第二步，就近做一笔交易取证。去ATM查一次余额，或刷一笔小额，留好凭条。这是"卡在我手里、我人在境内"的铁证。知乎
第三步，报案拿回执。受案回执是争议处理的核心材料。
第四步，向银行正式申报交易争议。异常交易明细、锁卡记录、ATM凭条、报案回执一起提交。微博
补一个冷知识：这次是无卡交易、不经过密码，但另一种情况要留意——开了交易密码的卡，凭密码盗刷基本走不了失卡保障理赔，失卡保障只赔付丢卡、无密码、仿签名盗刷。小红书
把盗刷通道提前关死
不出国的人，把"境外锁"长期开着；没有凌晨消费习惯的，把"夜间锁"也打开。不用的功能，线上无卡支付、境外无卡交易权限直接关掉，从源头堵死盗刷通道。最后是CVV：卡背面那三位数别拍照、别在陌生网站填——它是无卡交易的最后一道验证。知乎东方财富网
同样的剧情两年里演了两次，涉事银行已从一家扩展到中行、招行、农行等多家。机制漏洞该由银行和清算机构去补，但对你来说，那条凌晨的交易提醒来的时候，钱能不能回来、回来得多快，取决于前一小时你锁没锁卡、留没留证据。知乎
