部分国内银行的万事达Apple pay虚拟卡出现大量境外盗刷
本帖最后由 剑起苍斓 于 2026-9-27 22:59 编辑最新进展：中行: 将撤销入账 无需提供材料
因未知原因，境内部分银行发行的万事达设备卡允许通过三要素进行支付，设备卡号随机性不足，使用设备卡号三要素交易时 CVV、3DS 等安全验证设施缺失，使得卡片易被盗刷。除中行外亦有他行被盗刷的报告。
频道编辑建议您将所有已加入Apple Pay的中国内地银行发行的万事达信用卡/借记卡全部解绑，有必要时建议关闭所有境外支付功能。
https://t.me/encmasuta/1080
看小红书上貌似中行的居多，绑定了Apple Pay国内发行万事达卡的各位还是暂时锁卡比较稳当。
更新两个说明：
一、
因先前消息未测试全部场景，频道编辑误认为全部内地发卡行均已修复，请以本条消息为准。敬请谅解。
经编辑测试，不晚于 26 日晚 22 时起，中国银行的万事达卡 Apple Pay 设备卡（卡号）已无法用于三要素无卡支付。
另外，农业银行、广发银行、中信银行在早前已封堵该利用链。其余银行中，部分仍存在相同模式的盗刷风险。恕频道编辑持有的万事达卡银行覆盖数量有限，无法测试全部卡相关情况。
频道编辑及读者一并测试了境外发行的万事达卡设备卡（Apple Pay 卡、Google Pay 卡），其中部分境外银行也存在类似风险点，因此，这并不代表此问题仅仅局限于万事网联卡，也不代表此问题应全部归咎于万事网联或银行。
需澄清的一点是，此盗刷模式下，* Pay 仅用于生成设备卡，手机 Pay 提供方未实际参与交易。
另：
1. Visa 系统会拒绝 * Pay 设备卡（卡号）用于三要素无卡支付。
2. 今日各社交平台案例中夹杂了传统盗刷（如境外旅游时 CVV 泄露、伪卡等），请勿一概而论。
3. 编辑见部分传言有感：密码学不存在了
https://t.me/encmasuta/1086
二、
#万事网联 Apple Pay 设备卡盗刷问题和原因复现测试
绑定在 Apple Pay 的卡会分配一个设备卡号，通过这个卡号消费就会显示 Apple Pay 消费
• : 招行、浦发万事达 Apple Pay 设备卡无校验成功发起无卡交易
• : 使用招行金葵万事达 Apple Pay 设备卡的卡号 + 有效期，成功发起无卡交易
▎正常情况：
Apple Pay 其他地区发行的卡的设备卡号，你读出来也是不可能用来支付的，只有真正通过 Apple Pay NFC 支付(即只有tokenized交易) 才能正常使用
▎(部分银行)的万事网联卡问题：
国内银行发行的万事达 Apple Pay 设备卡，发卡行配置有问题 ，仅仅依靠输入传统的那种三要素到网付里面，别的啥都不用填，就可以直接付款了，根本不验证cvv。而万事网联的虚拟卡号是顺序发放，且 Apple Pay 上线时间集中在最近几个月，很容易推测卡号+有效期
有些不验证有效期的就更容易了，直接输入设备卡号就完成付款了
▎目前的建议：
在这个问题修复前，建议所有持有万事网联借记卡/信用卡的卡友锁定境外交易，直到万事网联或发卡行对此事发布回应
👉🏿 @DocOfCard_channel
https://t.me/DocOfCard_Channel/2528 真像主楼说的这样，那感觉家银行的 dpan/token pan可以直接批量命中，而且 还能脱离数字钱包流程使用，连3DS 之类的验证都没
那这样的话绑不绑 Apple Pay 感觉都不重要了，真确认是这个问题的话，直接停卡吧 去年就发生过 也是万事达，批量境外盗刷，归属地在巴西，卡号被撞库了，因为假交易在境外所以不验密码 现在都是芯片卡也会被盗刷。。。？ 已经不是第一次了
—— 来自 OnePlus PLR110, Android 16, 鹅球 v3.5.99 Apple pay去年就出了这问题，还没修复好吗 google的有问题吗，还想用google的去买一个gpt plus呢 本帖最后由 Buke 于 2026-9-26 23:03 编辑
真理元素好像做过一期，不过是visa。
好像是因为visa为了兼容牢美各种老旧的pos少做了一次标志位的验签，直接信任pos发送的某个公交卡标志位导致的问题。这个问题mc反而没有。
然后连线visa技术总监说这是feature，他们评估过这不是问题，真遇到盗刷直接dispute他们赔就是了 落墨无忧 发表于 2026-9-26 22:42
Apple pay去年就出了这问题，还没修复好吗
应该和Apple pay无关，万事达或者银行的锅，可能两个都跑不掉，是用类似Apple pay的手段进行盗刷 卧槽这么吓人 本帖最后由 剑起苍斓 于 2026-9-26 23:39 编辑
龙骑士尹志平 发表于 2026-9-26 22:45
google的有问题吗，还想用google的去买一个gpt plus呢
Google pay不支持国内卡的，Google play可以绑，但是要cvv的，除非Google把卡号/cvv全泄露了 这条贴文更早一些的编辑版本是
因未知原因，该部分设备卡允许通过三要素进行支付，卡号采用顺序发卡，且不校验CVV，同时可能并无3DS等额外校验措施，因此仅需通过稍加猜测或复用其他类似卡有效期即可实现盗刷。且除中行外亦有他行被盗刷的报告。
如果是真的那真的很草台了
ChengChung 发表于 2026-9-26 23:45
这条贴文更早一些的编辑版本是
因未知原因，该部分设备卡允许通过三要素进行支付，卡号采用顺序发卡，且不 ...
这个也太过草台了，不过感觉万事达肯定跑不了责任 更新一下最新情况
Re:Source · Samsung Galaxy S26 Ultra ChengChung 发表于 2026-9-26 23:45
这条贴文更早一些的编辑版本是
因未知原因，该部分设备卡允许通过三要素进行支付，卡号采用顺序发卡，且不 ...
囧，太草台了，这块代码不能是新写的吧 之前的visa绑了applepay就被盗刷了
盗刷地区是加拿大…. 之前万事达就出过篓子，浦发银行甚至直接给一堆人主动换卡号换新卡，怎么又是你
所有境外交易全关，需要的时候再打开。 apple pay确实上线的很匆忙。前几个月集中上线的
—— 来自 HONOR PNM-AN20, Android 16, 鹅球 v3.5.99 我只绑了银联借记卡应该没事吧。
论坛助手,iPhone 中行: 将撤销入账 无需提供材料
中国银行信用卡中心正致电本批次遭盗刷的受影响客户[注]，告知中国银行将撤销入账盗刷交易，并且无需持卡人提供材料。电话中将沟通后续换卡安排。
因客户数量较大，中行来电可能延迟。如迟迟未接到相关电话，请主动致电中国银行信用卡中心咨询，以免影响交易争议流程。
[注] 指因设备卡卡号用于三要素支付、实际产生账目并已主动或被动提交交易争议的客户。其他原因遭盗刷的客户不在此列。
Re:Source · Samsung Galaxy S26 Ultra 不明觉厉 才办完万事达卡 充好gpt plus就刷到这
不过还好我是储蓄卡 卡里不放钱就完了
—— 来自 samsung SM-S9180, Android 16, 鹅球 v3.5.99 国外盗刷真是很普遍，这些外国公司不知道咋想的，完全没有风控？苹果每年光是黑卡问题导致的坏账甚至能逼近我们项目总流水的1%，市面上游戏充值黑卡也几乎都是海外信用卡盗刷来的。
基本上关了外区和外币支付，问题就100%解决了。
我都是储蓄卡续费时才转钱，实在想不通有这3码就能扣费谈何安全。 好在我的建行万事达单标卡还不支持绑定Apple Pay不知道是该庆幸还是哭笑
论坛助手,iPhone 中行有一种免年费的万事达卡，只能境外消费。还申请了一张印着梵高名画的睡莲卡 Apple Pay不是号称很安全么，怎么搞砸的？ Jet.Black 发表于 2026-9-29 21:47
Apple Pay不是号称很安全么，怎么搞砸的？
和Apple pay没关系，正常Applepay的虚拟卡应该只能走Apple pay的渠道支付。但是万事达和银行的草台，导致虚拟卡也可以直接三要素无卡支付，等于绕过了Apple pay的渠道
Re:Source · Samsung Galaxy S26 Ultra 万事达去年同期就发生过盗刷，单纯是系统太菜了 Buke 发表于 2026-9-26 22:50
真理元素好像做过一期，不过是visa。
好像是因为visa为了兼容牢美各种老旧的pos少做了一次标志位的验签，直 ...
记反了吧，Visa是这方面做的不错的，Master Card各种找借口不改进 痴货 发表于 2026-9-30 08:23
记反了吧，Visa是这方面做的不错的，Master Card各种找借口不改进
刚去核对了下，没记错当时真理元素讲的就是visa
visa也一样草台，一样找各种理由不改进 一直觉得就凭卡号和背面3位数就能直接刷卡（线上扣费），也太不安全了吧 Buke 发表于 2026-9-30 09:13
刚去核对了下，没记错当时真理元素讲的就是visa
visa也一样草台，一样找各种理由不改进 ...
确实是，我记错了，不知为啥我以为是MasterCard的锅
页:
[1]