凌晨三点，盗刷手机屏幕突然亮起。国外一条消费通知弹出来：苹果在线商店，信用金额998美元，卡案交易地点显示为美国加州。盗刷我揉了揉眼睛，国外确认自己正躺在上海出租屋的信用床上，手机就在枕头边，卡案钱包里的盗刷信用卡也安安静静地躺着。盗刷，国外这个词瞬间让我清醒了。信用

打电话给银行冻结卡片时，卡案客服小姐的盗刷声音平静得像是处理过一万次这种事。她告诉我，国外这笔交易发生在两小时前，信用对方用我的卡号加上从某个暗网市场上买来的信息，成功通过了验证。我甚至不知道自己的卡信息什么时候泄露的——可能是在某个不正规的海外购物网站输过卡号，也可能是在某次看似安全的支付页面上。

这案子最后不了了之。银行追回了款项，但整个过程耗时三个月，中间要填各种表格，提供不在场证明，甚至要证明我那晚确实没坐飞机去加州。讽刺的是，真正的盗刷者可能只花了不到50美元就买到了我的全套信息，包括有效期和CVV码。

后来我认识了一个专门做跨境支付安全的朋友，他告诉我这类案子有多普遍。盗刷国外信用卡的核心不在于技术多高明，而在于信息买卖的黑产链条太成熟了。有人专门在钓鱼网站上收集卡号，有人负责测试这些卡号能不能用，还有人专门找那些不看账单的“肥羊”——有些人一个月才查一次账单，等发现时，卡已经被刷爆了。

他给我看了个案例，一个团伙专门盯上欧洲的小众奢侈品网站。这些网站支付验证很松，只要卡号、有效期和CVV对得上，订单就自动通过。盗刷者买了名牌包后寄到中转仓库，再转运到国内二手平台卖掉。一条龙服务，干净利落。受害者往往要等到月底对账单时才发现多了几笔陌生的欧元消费，但那时候包已经背在别人身上了。

最要命的是，很多银行对海外交易的处理流程特别慢。我朋友说，他经手过一个案子，受害者是个留学生，卡被刷了6000多英镑买电子产品，银行调查了四个月才退款。那学生中间还得自己垫钱交房租，气得差点退学回国。

这些案例里，受害者几乎都是普通人——不是不懂技术的大爷大妈，而是经常海淘的年轻人，甚至包括IT从业者。原因很简单：大家太依赖信用卡的便捷性，却很少检查账单明细。我有个习惯，每笔消费都开即时通知，稍有异常立刻锁卡。这习惯救了我好几次，但也挡不住那些专门研究银行风控规则的团伙——他们专挑凌晨刷卡，利用的就是银行系统对“异常交易”的反应延迟。

现在想想，那次凌晨的消费通知其实算是幸运的。至少我及时发现，损失被控制住了。更多人的卡被刷了几个月都没察觉，直到某天想买机票时才发现额度全没了。那种感觉，就像你明明锁好了门窗，醒来却发现家里被搬空了——而钥匙，是你自己递出去的。