凌晨三点，盗刷手机屏幕亮起来。境外我眯着眼看了一眼——三笔消费，信用每笔99.99美元，盗刷来自一家我从未听过的境外在线家具店。地点：美国俄勒冈州。信用而我人躺在北京出租屋里，盗刷信用卡就压在枕头底下，境外最近一次消费是信用楼下便利店买的酸奶。

这不是盗刷电影桥段。盗刷境外信用卡的境外黑产，早已是信用一条成熟流水线。你的盗刷卡号、有效期、境外CVV码，信用在黑市上打包出售，价格低到让人心寒——一张带完整信息的卡，有时只要几十块人民币。买家拿去做“测试”，小额试刷成功，再转手高价卖给更专业的团伙，批量套现。

我打电话给银行冻结时，客服语气平淡得像在播报天气预报：“先生，这笔交易发生在境外，需要您提供不在场证明。”不在场证明？我大半夜在家睡觉，难道要调卧室监控给银行看？后来才明白，所谓“证明”，不过是填一张争议交易表，签上名字，承诺不是本人消费。银行走流程，保险公司兜底，最后大概率能追回，但中间那两周，你的卡是冻结的，钱是悬空的，心情是烦躁的。

更阴险的手法藏在“小额试探”里。去年有个朋友收到一条短信，说他的卡在泰国刷了八块钱，问是否本人操作。他随手回了“否”，结果第二天卡被刷爆——那八块钱根本不是试探，而是犯罪分子在验证卡是否活跃。一旦你回复任何信息，等于告诉对方“这张卡有人管”，反而激发了他们的操作热情。真正的盗刷团伙，从来不打招呼，直接一锤子买卖。

我查了账单明细，那三笔99.99美元的消费，时间间隔精确到秒。这不是人手操作，是脚本跑的。黑客从某个购物网站的数据库里拖出百万条卡信息，用程序批量测试小额消费，能过的就标记为“活卡”，再卖给专门做境外套现的人。套现方式五花八门：买礼品卡、充话费、订酒店，甚至有人用盗刷的卡在亚马逊上买iPhone，寄到中转仓，再转运回国销赃。链条清晰得可怕，每个环节都有专人负责，比很多正经创业公司还专业。

最讽刺的是，我那张卡是双币种卡，平时只在境内刷人民币。银行风控系统对境外交易理应敏感，可偏偏没拦下这三笔美元消费。后来才听说，有些银行为了用户体验，对“小额境外消费”默认放行，怕误伤正常海淘用户。盗刷团伙早就摸透了这套规则——单笔不超过100美元，不触发人工审核，像蚂蚁搬家一样，一点点啃你的额度。

钱最后追回来了，前后花了三周。银行寄来新卡，我翻到背面，发现CVV码换成了三位新数字。那感觉就像家里被小偷撬了锁，换了把新锁，但你知道小偷手里还有你家钥匙的模具。我注销了那张卡，改用单标卡，境外交易必须手动开启。麻烦是麻烦点，但总比半夜被手机吵醒强。

写这些不是吓唬你，而是想提醒一句：翻翻你上个月的账单，看看有没有几笔几十美元的“幽灵消费”。如果有，别犹豫，立刻打电话给银行。盗刷这种事，发现的越早，损失的越少。别指望银行主动帮你盯着，他们系统再智能，也架不住你卡号在暗网上挂了半年没人管。