9月15日晚上快十点，一位在美国的留学生收到工行扣款短信：她的Visa卡（工商星座卡，办的是妈妈的副卡）被亚马逊扣了将近150美元，可她"最近压根没买amazon"。她赶紧把可用额度降到1万以下、锁卡，夜里联系不上人工客服，发帖问：是不是要挂失重办？人在国外，重办的卡怎么办？小红书
半小时后评论区给了答案：去看一眼亚马逊Prime的自动续费。她上去一看——真的开着，赶紧取消。小红书
虚惊一场。而在同一晚的另一个时区，一场真的"突然被扣钱"正在放大新闻：9月12日iPhone 18 Pro预售开始后，不断有香港市民收到银行短信，显示自己的信用卡在苹果官网完成"无卡支付"，本人根本没下单，盗刷订单全部用来抢购新机。截至9月14日下午5时，香港警方已接获1209人报案，涉案约2500万港元，涉及多家香港主流银行——而去年iPhone 17预售之后，就发生过一模一样的事。第一财经
港警后续的通报点出了机制：涉案的预购交易无须经过一次性短信验证码或其他认证，付款过程不经持卡人确认即可完成。渣打、汇丰、中银香港三家给出的应对动作也高度一致：App实时封锁/暂停信用卡，提出争议交易，经核实为未授权交易的，持卡人毋须承担款项。第一财经
这两件事摆在一起，就是境外用卡最真实的两个切面：一边是"看着吓人、其实是自己订过"的订阅扣款，一边是"卡没丢、没输密码、钱没了"的真盗刷。国庆出境游和留学返学期就在两周后，手里有一张Visa、正准备出国或刚出国的人，值得在收到任何一条扣款短信之前，先把这张卡上的三道门看清楚——因为三类"突然扣钱"，第一步操作完全不同。
三类"突然扣钱"，第一眼的分诊法
第一类：订阅和延迟入账。像9/15这条亚马逊150美元——评论区还补了一句，亚马逊会延迟扣款，之前的订单可能现在才入账。判断方法简单到不像话：先登录商户账户查订阅和订单，而不是先打银行电话。
在土耳其旅游的人发帖说，每次刷Visa都会"根据消费金额多收一点钱"，分不清是税费还是什么，评论区60个人一半在吵是不是被坑——这类"少退的钱、多收的费"在退税和境外拍卡实测里拆过三道环节，本文只留一个动作：先对商户名和金额，确认有没有合法来路，再谈盗不盗刷。小红书
第二类：无卡盗刷。这才是Visa卡真正特殊的地方。一位招行卡友被刷走三笔韩元、一笔新台币、总共9万多人民币时，人在公司上班，卡躺在家里。他事后总结：Visa和万事达的信用卡大多不需要密码，只要有持卡人姓名和卡背面那三位CVV码，就可以支付。小红书
第三类：实体卡信息泄露后的"迟到账单"。一位2025年7月发帖的农行卡友，出国前特意用贴纸遮住CVV和有效期、用了防盗卡套，全程只在便利店和商场正规店刷卡——唯一一次把卡交到人手里，是酒店付押金，前台说"系统需要输入有效期"，当着被贴住的卡面把数字要了过去。回国三个月后，两条95599短信告诉他：有人用他的信息在旧金山一个旅游预订平台上刷了417.28美元。万幸，交易因为自己设过的单笔限额失败了。小红书
香港这轮集体盗刷属于哪一类？第二类的极端版本：卡信息早已从某个环节泄露，而苹果官网这类预购通道又不需要OTP，于是泄露=直接扣款。
为什么你的"凭密码消费"，在海外不生效
这就是大量纠结的来源：国内银行App里默认的"凭密码消费"设置，管不到境外那条链路上。 境外的商户端验证习惯和国内完全不同，甚至商户是否走3DS额外认证，都由商户自己决定，银行单方面加不了这道锁。知乎第一财经
司法系统已经给"没告诉你密码在境外不生效"定过价。银川中院2025年的一起二审判决里，持卡人申卡时明确勾选了"消费需凭密码"，银行没有告知境外交易可能无需密码；卡境外被盗后短时间内被连刷八笔，签购单签名与卡面签名明显不符而商户未核验，持卡人提出异议后银行仍向商户付款——法院认定银行三重过错，判银行承担60%损失，持卡人因保管不善和挂失迟延自担40%。知乎
更早的上海浦东法院2024年判决里，银行拿"挂失前损失自负"的合约条款当挡箭牌，法院直接认定这属于不合理排除持卡人权利的格式条款、不具法律效力。知乎
判决是事后的兜底，不是事前的防线。交易发生的那一秒，你的密码确实不在场；香港警方也确认，苹果和银行的系统都运作正常、不涉及网络攻击——钻的就是"无卡、无OTP"的空子。
锁不是一个，是三个开关，16家银行叫16个名字
多数人嘴里的"锁卡"，其实混着三个东西：境外交易锁（境内外有卡无卡一起管）、无卡交易锁（专关线上CNP交易，实体店刷卡不受影响）、单笔/日累计限额。那位农行卡友救他的就是第三个；而"刷实体卡没问题、网上被扣钱"的场景，关第一个是误伤，该关的是第二个。
问题是各银行App里这些开关的名字和入口全不一样。一张流传了两年的16银行对照帖，最近一次更新就在9月10日——国庆前还有人回来补内容，说明这个信息差一直没填平：
工行：掌银直接搜索"账户安全锁"
招行：掌上生活-我的-安全中心-一键锁卡
农行：掌银-我的-安全中心-支付设置-限额管理-卡限额-境内外交易设置
中行：缤纷生活App-选卡-一键锁卡-安全锁设置
建行：掌银-我的-银行卡-信用卡-更多-安全锁-境外锁卡
交行：买单吧-设置-支付设置-卡片支付管理-锁卡设置
中信：动卡空间-卡片管理-选卡-支付设置-关闭境外消费
光大：阳光惠生活-一键锁卡（注意：会同时锁境内，人在国内刷完、出去别误锁）
平安：口袋银行-信用卡-卡片保护-一键锁卡-境外锁
邮储：信用卡掌银-支付服务-我卡我做主-境外交易锁
（广发、浦发、兴业、民生、浙商、华夏的入口同理，都在各自的"安全锁/交易开关"里。）
三个容易踩的实操细节。一是招行这类支持"临时解锁30分钟"的，比全程开着锁裸奔实用得多。 二是中行用户实测提醒，锁卡不需要验证码、但解锁会给绑定手机发验证码——用大陆手机号出境又没开国际漫游的人，等于把钥匙留在了国内。 三是农行安全锁触发后有官方短信回执，会直接写明交易因安全锁失败和解除路径，这笔"失败的扣款"反而能确认锁真的在工作。小红书小红书
出发前四步、被刷后四步
把上面的判断倒推成动作，出发前花十分钟：
两张卡分工：实体刷卡那张，永远关闭无卡交易功能；网上订车、订餐、订阅用的那张不随身刷。这是吉隆坡那条帖子里1400多人点赞的策略，被验证过一年半没人被盗刷。小红书
单笔限额设上，额度不高但足够日常；副卡（尤其父母给你办的那种高额度）单独再压一档。
CVV和有效期贴纸遮好；任何"系统需要输入有效期"的实体卡交付（酒店押金最常见），回来第一件事是换卡。
能用手机Pay就不掏实体卡；实体卡用完、回国落地，第一时间锁上——三个月后到账的账单，没人会提前提醒你。
万一真收到可疑扣款短信，顺序反过来也有标准动作：
先App一键锁卡，再去打人工客服——那条被转了7000多次的攻略帖说得很直白：等人工的时间够被盗刷走很多钱。香港三家银行的官方口径也是同一个动作：先封锁/暂停卡片。小红书
跟客服强调"卡在我手里、被异地无卡盗刷"，这句话决定你走的是盗刷争议通道，不是普通退款。
判断要不要自证：网上无卡盗刷不需要跑网点（招行那位9万的卡友第二天去网点办了一笔100元还款，属于加保险）；如果是异地ATM取现、卡明明在身上，就近找台ATM查一次余额或刷一笔小额，留下"真卡在手"的记录。
进争议流程：招行的版本是国际卡部专组调查、启动"争议金"，明确交代出了账单先不要还款，两天后资金自行归还。 那条高赞攻略的版本是三天内提交亲笔签名的《持卡人声明》加卡片正反面照片，之后等钱回账。港银的表述同样明确：经核实为未经授权交易，持卡人毋须承担款项。被刷的卡一律销卡换新。小红书
要提醒的是，争议不是百分百赢。同一条帖子的评论区里，另一位被盗刷3万多元的人遇到的就是"银行不给拦截"，最后自己打电话找英国商户把钱要了回来。证据意识要有：出入境记录、行程单、交易明细、和客服的沟通留痕，真进诉讼时，银行还得就"境外免密"规则举证它当时怎么显著提示过你。另外，如果手里是Visa借记卡（储蓄卡），追回难度普遍被认为比信用卡更高，出境前这十分钟更值得花。小红书小红书
还有一条新闻提醒：这次被盯上的是iPhone预售通道，去年是iPhone 17，明年大概率还有下一轮——大额预售季前后，任何绑过的卡都值得去App里翻一眼锁的状态。国庆出发前，先别急着问"哪张卡返现多"——先确认你卡上这三道门各关在哪，以及万一钱突然少了，第一步该动哪个手指。
