讨论一下今天 apple pay 万事达被盗刷的技术漏洞

• 请不要在回答技术问题时复制粘贴 AI 生成的内容

今天我也遇到了中行万事达被盗刷，尽管 apple pay 卡片下方没有提示，但微信提示 apple pay 渠道消费。

我去搜索了小红书，就在这 24 小时内大量的中行 apple pay 万事达被盗刷。少量招行和农行？这个需要核实。

有人说撞库？还是拖库？

银行，万事达中国，万事达，apple 四家肯定有一家有漏洞。

有没有相关技术的从业者或者懂行的人聊聊？

重点是今后如何避免，因为 apple pay 对于普通人就是黑箱，能被盗刷真是不可思议。

盗刷

漏洞

applepay

44 replies • 2026-09-27 03:33:11 +08:00

Admstor

18h 23m ago

同时用了 mac ？

hippoboy

18h 22m ago

@Admstor 同时使用 mac ，但是 mac 没有绑定 apple pay ，甚至检查付款也是关闭状态。

hippoboy

18h 17m ago

小红书有些人会在 apple pay 卡片下面有消费记录，感觉是盗刷者把虚拟卡复制成了实体卡？我不知道 apple 是如何处理 token 的，感觉这里面有问题，难道虚拟卡的信息可以被固定，这就很可怕了。

Jooooooooo

18h 13m ago

找不到原因的情况下先取消关联了吧

hippoboy

18h 5m ago

@Jooooooooo 已经做了止付，主要是以往一直说 apple pay 不用实体卡可以防止盗刷，现在看来 apple pay 也会出问题，就是不知道是哪方。apple pay 在国外好多年了，没有大规模事故，今年万事达中国才上线 apple pay ，感觉有问题，但是不是断言，纯猜测。

413420

17h 34m ago via iPhone

apple pay 的被盗刷率是最低的

ImINH

17h 28m ago

大概和 apple pay 、万事达都没关系，应该是中行在上线 Apple Pay 万事达的时候，因为要在屎山上变更，所以寻求了某种捷径来实现，存在某种逻辑漏洞(某些方式下的白名单或者跳过验证，然后被灰黑产发现，然后批量利用。但是在已经成熟的传统金融网络里，这种盗刷意义不大，而且国内行的尿性，可以按照营销费用给用户赔付(逃。可能商家应该是损失最大的。

hippoboy

17h 26m ago

@413420 所以说手机在手里，apple pay 卡片多了一条消费记录，不可思议。我猜测大概率是某些企业魔改了 apple pay 的实现原则，比方说把虚拟卡当作开实体卡，并且记录了各种信息到数据库。

hippoboy

17h 25m ago

@ImINH 银行补卡要收费，补卡费补贴营销费了。

fbcskpebfr

17h 13m ago via iPhone

大概率是万事达和 apple pay 的问题

几年前 Apple card ，Chase IHG ，WF Bilt ，这些都有过巴西盗刷的记录，而且都是万事达

byteharbork2

17h 9m ago

吃瓜

zooo

17h 4m ago

我早上也收到了 apple 渠道的招行信用卡消费提醒，一直在刷 1 美元的支付
但是几笔都支付失败了，吓死我了

q534

16h 50m ago

新出的万事互联出问题？ applepay 这么大规模，很少听说盗刷事故。
我很好奇如果受害者没关注账单或者没发现其中一笔是盗刷会赔付吗

q534

16h 47m ago

@Jooooooooo 我看见有 xhs 回复说已经解绑的也有可能被盗刷

AmericanExpress

16h 26m ago via iPhone

@fbcskpebfr
Bilt 我记得是 wells fargo 的问题吧

AmericanExpress

16h 25m ago via iPhone

@fbcskpebfr
nvm 大概率是 mastercard 的问题

lijiext

16h 24m ago

APPLE PAY 软件里面是能看到这笔消费的，不过止付以后就什么都看不到了

PerFectTime

16h 11m ago

因未知原因，该部分设备卡允许通过三要素进行支付，卡号采用顺序发卡，且不校验 CVV ，同时可能并无 3DS 等额外校验措施，因此仅需通过稍加猜测或复用其他类似卡有效期即可实现盗刷。且除中行外亦有他行被盗刷的报告。

PerFectTime

16h 11m ago

在 tg 看到的小道消息

413420

15h 44m ago

@PerFectTime 以后可以附上来源 https://t.me/encmasuta

413420

15h 44m ago

apple pay 真是倒了血霉了和内地合作结果踩了这么个大坑

IsaacYoung

13h 43m ago

离谱

mooyo

11h 47m ago

居然现在才开始讨论万事达盗刷吗？

你们可以关注下去年，前年的汇丰蓝狮子盗刷事件，当时因为活动要求绑定美团，甚至怀疑是美团内鬼在参与盗刷。

结合今年这次来看，应该是万事达自己有洞

silverzidan

11h 42m ago via iPhone

发卡行的问题呗从技术角度看除非银行侧数据库漏了导致不用你的手机也能生成 tokencrypto 然后做了这笔交易不然不能理解 apple 钱包也能看到交易🌚

SenLief

11h 42m ago

目前看到的都是 apple pay 的盗刷，没发现其他渠道的？

silverzidan

11h 39m ago via iPhone

@mooyo 这个是 3 要素泄漏和这个不是一个概念 3 要素的话线上支付的每一个环节都可能泄漏我还见过某个东南亚的支付网关 api 明文传 cvv 的🌚盗刷也不是太奇怪线上交易的交易争议基本不存在输的可能性

silverzidan

11h 37m ago via iPhone

理论上 applepay 交易属于是高可信的 3ds 验证过的不会发卡行不认账吧🤣

solecc

11h 20m ago

@silverzidan 不太清楚国内会爽快的认账么。会不会拉扯很久才做 dispute

licong

10h 48m ago

没绑定 apple pay 的没事吧

billccn

10h 27m ago

@PerFectTime 如果是这样，那完全就是银行方面弱智级别的错误。

@silverzidan 这个漏洞根本不需要 token ，甚至不需要经过 Apple 。每个手机 NFC 支付后面都对应一套银行生成的三要素，这个是为了兼容旧系统或者离线/降级时候使用的（比如美国很多地方的实体店并不会正确使用预授权、部分请款等功能，而是把三要素读出来后面再按照无卡交易进行操作）。

正常银行是不会允许这些三要素进行联机（ POS 机有网）或者互联网交易的，这些交易应该完全通过 Apple pay 进行，但是显然有银行没有验证他们交易的来路。如果他们的卡号顺序发行，那过期日期都是规律的，完全可以被枚举出来，不需要任何的泄漏。

TigerK

10h 9m ago

请打开『中国银行』手机 App ，底栏点击『信用卡』-页面中间位置『更多』，滑动中间标签找到”密码及安全“栏目。
『一键锁卡』-选择卡片-自定义锁定：境外交易限额输入 0 ，境内交易按需设置即可。（ Apple Pay 需要刷卡交易限额）
时间根据需要设置即可，推荐境外交易选择 00：00-23：59 ，境内交易选择早起前 1 小时，及最晚到家时间（付打车费）