“您的信用卡5141MC Apple Pay于2026年9月26日，在60.440消费BRL1900元。”9月26日，张华手机收到一条来自中国银行的交易提示短信，明明人在国内，信用卡却出现了巴西币种的境外消费。


张华意识到信用卡遭到盗刷，当日立即联系中国银行客服冻结信用卡，随后报警。新京报贝壳财经记者了解到，张华并非个例，近期，多位银行信用卡万事达卡（Mastercard）持卡人在社交媒体反映信用卡出现境外异常交易，相关信用卡此前绑定过Apple Pay。


目前，新京报贝壳财经记者联系中国银行、万事达，暂未收到相关回复。业内人士指出，相关事件具体成因仍待银行、卡组织及支付机构调查，不宜简单归因于Apple Pay。


多位持卡人遇盗刷 涉事款项予以撤销


张华这张信用卡此前从没被盗刷过，在接到境外消费提示后，他立即联系中国银行客服，按照客服要求到派出所报警做笔录，并拿到报警回执。随后，他前往中国银行网点尝试取现，短信提示交易失败，且无法打印凭条。


9月26日，张华再次联系银行客服，被对方告知，信用卡被冻结无法打印凭条，客服已反馈专门小组，将尽快核实处理。


张华手机收到信用卡境外消费提示短信。受访者供图


就在同一日，林倩也收到类似的提示短信，“您的信用卡 3567MC Apple Pay于2026年9月28日，在PGZ*CL撤销BRL3950元。”这条短信同样来自中国银行，绑定过Apple Pay。


林倩手机收到信用卡境外消费提示短信。受访者供图


“早上还在做手术，突然收到一条短信，发现不对劲。”林倩称，打开手机银行发现钱在巴西被刷走了，她立即联系中国银行客服冻结信用卡，下班后立刻拿卡去银行查询，再去派出所报警。


目前，张华和林倩均已被中国银行联系，协商处理该问题。9月27日，林倩接到中国银行电话，对方称，这笔盗刷金额无需偿还，后续将自动撤销。


9月28日，张华也接到中国银行电话，被告知盗刷款项不会入账，无需还款，无需上传任何资料。同时，银行确认张华仍需继续使用该信用卡，在完成密码核验后，会邮寄新卡，新卡的卡号、有效期等信息均会更换。


在社交媒体上，多位银行信用卡万事达卡（Mastercard）持卡人反映信用卡出现境外异常交易，相关信用卡此前绑定过Apple Pay。


“实体卡未离身仍可能发生盗刷，主要在于支付凭证或数字Token可能被非法获取、绑定或滥用。”招联首席经济学家、上海金融与发展实验室执行主任董希淼称，与传统盗刷相比，此类风险攻击面从卡号信息扩展至设备与数字凭证链路，交易常呈跨境、分散特征，参与方更多，责任认定更复杂。


董希淼指出，Apple Pay以设备账户信息替代实体卡号，并配合动态安全机制，可降低卡号直接泄露风险；但Token并非绝对安全，尤其是如果注册环节风险监控不足，单一机构难以识别跨行业的团伙欺诈。


信用卡被盗刷该怎么办？业内给出“止损—取证—申诉”指引


信用卡被盗刷屡见不鲜，大约两周前就曾发生过信用卡盗刷事件。


自9月12日iPhone 18 Pro/Max系列手机预购以来，不少香港地区用户在社交媒体上发文称信用卡被盗刷用于购买这款手机。据新京报贝壳财经记者了解，汇丰银行、渣打银行、恒生银行等多家银行用户被波及。


根据广州日报等媒体报道，截至9月14日下午5时，香港警方累计接获1209名市民报案，涉案总金额约2500万港元，最大单笔约11.4万港元，案件暂列为“以欺骗手段取得财产”跟进。目前警方已向相关银行和苹果公司调取交易资料并展开调查。


9月4日，香港金管局发布公告，提醒公众提防针对非接触式流动支付服务绑定支付卡的钓鱼诈骗。香港金管局称，接获银行报告，涉及支付卡（包括自动柜员机提款卡）被未经授权绑定至非接触式流动支付服务的骗案。香港金管局已与银行业界分享有关行骗手法，提醒银行提高警觉和加强客户教育。


金管局提醒市民，绑定支付卡属高风险操作，必须谨记：切勿点击来历不明讯息中的超连结；切勿向任何人透露支付卡资料、自动柜员机私人密码、登入密码或一次性密码；切勿听从不明或未经核实人士的指示，回复或批准任何要求或交易，包括透过手机银行应用程式或双向短讯发出的要求或交易；以及仔细阅读银行发出的所有讯息及通知，并拒绝任何非本人发起的支付卡绑定请求。


当持卡人发现境外异常交易，应该怎么办？董希淼表示，持卡人发现境外异常交易，应遵循“止损—取证—申诉”顺序。立即通过客服或App冻结、挂失卡片，并尽快在境内ATM查询、取现或POS消费并保留凭条，以证明卡未离身。


随后，要向银行提出盗刷调查并向公安机关报案。应保存交易凭条、账单与提醒截图、客服沟通记录、报案回执及出入境或行程材料。无境外消费需求者，可关闭境外交易功能，启用境外、夜间、异地安全锁，设置较低交易限额，并开通短信、App、微信等多渠道提醒。


“Token化普及后，银行风控难点主要在于传统模型与Token交易风险来源存在错位，注册环节监控不足。”董希淼称，跨机构、跨境数据共享和协同风控有限，难以拼出完整攻击图景；跨境链路主体多、司法辖区不同，责任认定与快速处置机制尚不成熟。因此，需在注册环节强化风险评分，推动卡组织、支付平台与银行实时共享信息，并完善跨境争议与责任规则。


（张华、林倩均为化名）


新京报贝壳财经记者 徐雨婷 编辑 陈莉 校对 柳宝庆