10月16日晚，大家在疯抢iPhone Duo的同时，一百多个香港市民却收到银行的扣款短信——卡在手里的，密码没给过任何人，钱却替别人付了预售款。17日香港警方通报：接获逾110宗信用卡被盗用报案，涉款约460万港元，单笔最大损失近23万。知乎小红书
要提醒的是，这已经是一个月内第二波。9月12日晚iPhone 18 Pro预售开启，9月14日警方就接到过1209人报案，涉款约2500万港元。两波加起来超过1300人报案，黄牛转手加价普遍超7000元。有利可图的地方，就有贼。下个月正是双11，绑卡、付款的频率全年最高，这套盗刷玩法值得每个卡友在下单前搞明白。中国新闻网第一财经
卡没动，钱怎么被扣走的？
警方调查9月那波涉案交易，发现一个要命的口子：不需要一次性短信验证码（OTP），也不需要持卡人确认，填个卡号+安全码（CVV）+有效期，付款就完成了。一位10月在港下单的亲历者描述得更直白："付款方式就只有一种，填卡号安全码有效期"，没有人脸识别、没有任何密码，按下下单就扣钱。中国新闻网小红书
翻译成人话：卡面照片=钱包。早年从各种泄露渠道流出的批量卡数据，平时安静地躺在黑产库里；预售夜这种"免验证通道"一出现，它们瞬间变成万能钥匙。9月下旬，中国银行卓隽外币卡也遭遇集体盗刷（疑似撞库），有人凭空多出"巴西消费"——这不是个别用户不小心，是支付通道漏了。微博
付款前，每个卡友必设的3道防
分卡：高额度卡别当"网购主卡"。小额实体卡绑网页，大额卡的支付走Apple Pay/钱包这类token化通道——商户拿到的是设备卡号，泄露了也没用。
锁开关：打开交易实时通知，关掉小额免密，把线上支付/境外支付开关和单笔限额设好。要抢单就临时打开，抢完一键上锁。
管住链接：只在官网和官方App下单，代抢、锁单、客服"退单补偿"的陌生链接一律不填卡号。收到异常扣款短信，第一时间截图留证。
已经刷丢了？救命三步
先挂失锁卡（App一键锁或打客服）；再去楼下便利店刷一笔并留小票——证明卡在人身上、异地/线上交易是盗用；然后向发卡行发起"未授权交易"拒付（chargeback）并报警留回执。
这条路的规则比你想象的硬气：金管局明确，持卡人没有欺诈或严重疏忽，无须为未经授权交易担责。内地徐欣诉招行的司法典型案例也定了调——银行仅以"身份识别信息和交易验证信息相符"为由主张不赔，法院不予支持。本次苹果已称将取消欺诈交易、各行启动退单，但拒付有申请时限、反馈通常以周计，发现当天就行动，别拖。中国新闻网知乎小红书
卡是用来占银行便宜的，不是让贼占你便宜的。记住：卡号、有效期、CVV三件套，就是线上支付的"全部门锁钥匙"——别拍照、别外传、别乱绑。
