10月初，小红书一条 “有工行星座卡Visa的赶紧锁上” 聚起154个赞，发帖人自己就说：最近"刷到超多工行visa被盗刷巴林货币的帖子"，赶紧提醒工行卡有额度的人把卡锁好。评论区最瘆人的猜测是：怀疑有人直接按卡号顺序一个个试着盗刷。另一位工行用户可没这么幸运——收到交易提醒短信，客服一查是沙特币的交易、折人民币两千多，而这张卡开卡以来从没在网上购物过。小红书小红书
而扎心的知识点在于：境外Visa无卡支付不需要密码，也不需要你手机确认——有博主亲测，在海外网站把卡号、日期、3位安全码输进去，当场就付成功了。这套规则四十年没大改，核心就是"谁持有信息，谁承担风险"：验证越松，盗刷的责任越往发卡行和商户身上压，持卡人发起拒付后，得由商户去举证这笔交易被授权过；加一道密码，等于把责任推回持卡人。所以真正该做的不是跟规则较劲，是在规则之内把自己藏好。微博知乎
防身，就三个开关，2分钟能弄完：
关掉"境外无卡交易"：藏在银行App的安全锁/锁卡功能里。有位博主的做法被无数人抄作业——把境外无卡交易关掉，只留一个小额免锁，需要用大额的时候再打开。这波工行星座卡盗刷报告里，被境外锁和0额度挡下的大有人在：有人10月3日凌晨被盗刷，因为开了境外锁、又是0额度，交易直接失败，客服查出是一笔新西兰元的POS消费，而这个人从未去过新西兰。微博小红书
开起3D Secure验证：就是境外网站付款时跳出来的验证码或App确认——银行侧的描述更直白：境外网站付款触发3D Secure验证时，要在本人手机上完成核验。开了它，"只有卡号"的盗刷难度会明显上升。知乎
境外线上消费用单独一张卡：知乎那篇热答的原话是单独一张卡走境外线上支付，额度调低，别用主卡。真出事损失可控，记住招行帖子里那句"用一笔锁一笔"；线下能用拍卡、手机Pay就少递实体卡。知乎
真被盗刷了，别慌，值钱的是操作顺序：先App锁卡，再打电话挂失补卡并当场提出拒付（chargeback），话术就一句"非本人交易，申请争议处理"，同时留好交易短信、账单截图和本人位置证明；金额大的报警做笔录。招行那位494赞用户的完整时间线值得存下来：上午在App锁卡并联系银行，下午专员核实挂失，4天后银行直接给一笔负账单平掉这笔盗刷、明确不需要还款，后续由银行自己向商户追回。小红书
反例也有：越南一位用户在航班上失卡、第一时间挂失，农行最后回复visa芯片卡实体卡POS交易的盗刷不能有拒付流程，给出的理由是Visa那边关闭了这个通道。还有工行用户卡片挂失冻结生效5小时后，盗刷资金仍被放行入账，争议拖了半年。同样的Visa规则，各家银行执行速度天差地别，所以发现异常立刻办，别等回国。小红书小红书
10月21日，Visa公布了商业风控方案，围绕企业虚拟卡支付提供供应商验证、虚拟卡用户认证和交易控制三项能力。其中的用户认证正是基于3-D Secure机制。它8月还官宣拟24亿美元收购行为反欺诈公司BioCatch。卡组织在把责任往机构端收，但对普通持卡人来说，最管用的防线还是你App里那三个开关。年底出境游、黑五海淘高峰马上到，境外用卡记住三不：卡片不离视线、不轻易交卡、不透露CVV码。收拾行李前，花两分钟把锁卡设置调好。知乎界面新闻知乎
