近日，多位境内银行万事达信用卡持卡人反映，在自己并未出境、实体卡片从未离身的情况下，名下信用卡却在境外发生多笔未经授权的消费。相关情况自9月25日起在社交平台集中出现，引发广泛关注。
综合持卡人描述，此次异常交易高度相似：交易时间多在凌晨，消费地点以巴西为主，另有乌拉圭、英国等地；涉及卡片以中国银行长城卓隽万事达卡系列为主，农业银行、招商银行等也有持卡人反映类似情况。多笔交易记录显示通过Apple Pay渠道发起，但也有部分持卡人表示并未绑定Apple Pay。被盗刷金额从数百元到上万元人民币不等。
截至9月29日，事件处置已有明显进展。多位持卡人证实，已收到发卡行客服通知，确认相关交易为盗刷，银行将自动撤销异常交易、无需还款，并沟通换卡事宜，部分交易已于9月28日完成撤销。有接近处置工作的人士称，相关漏洞已于9月27日补上，本次事件不会让持卡人受损。中国银行客服表示，经确认确属盗刷的，将由银行协调卡组织相应赔付。
关于事件成因，目前尚无官方定论。博通咨询金融行业资深分析师王蓬博分析，此类盗刷又称撞库攻击，推测是黑产团伙摸透了万事达部分号段的发卡编码规律，在未掌握用户卡片信息的情况下批量生成卡号，再通过境外低风控商户多次尝试并成功。亦有银行信用卡中心人士指出，不法分子在巴西伪造了交易报文，不同机构对高风险报文的处置存在差异，部分发卡行直接拒绝，部分则未作相应处理。
值得注意的是，这并非境内万事达卡首次遭遇境外集中盗刷。2025年9月，浦发银行与万事达合作发行的无价世界卡也曾出现境外集中盗刷，交易地点同样集中在巴西。业内普遍认为，境外线上无卡交易仅凭卡号、有效期、CVV安全码即可扣款，且部分场景不强制二次验证，为盗刷留下可乘之机。
国庆长假临近，出境旅游与跨境消费将进入高峰，多家银行近期密集发布境外用卡风险提示，建议持卡人开通账户变动实时提醒，按需设置境外单笔、单日交易限额，关闭免密支付，无境外用卡需求时可暂锁境外交易功能；一旦发现异常交易，应第一时间联系银行冻结卡片，并保留相关凭证。
