凌晨三点，信用我收到一条短信：信用卡在境外消费199.99美元。卡漏那一刻我正抱着手机刷剧，信用睡衣都没换。卡漏骗子显然没做功课——我这张卡额度只有两千人民币，信用根本刷不出美元。卡漏

但这事让我想起去年那个真正栽了跟头的信用朋友。他在某电商平台绑卡后，卡漏第二天卡就被盗刷了三笔，信用每笔都是卡漏整数，像有人拿他的信用卡在超市买烟。银行客服说“建议报警”，卡漏语气平淡得像在播报天气预报。信用他问能不能追回，卡漏客服说“走流程吧，信用大概要等45个工作日”。他后来发现，那家平台在他绑卡时根本没要求输入CVV码——就是卡背面那三位数字。这等于把家门钥匙挂在门口，还贴了张纸条：请随手关门。

信用卡的漏洞从来不在技术层面。技术再加密，也防不住人。我认识一个在支付公司做风控的朋友，他私下跟我说，真正让他们头疼的不是黑客，是“内鬼”。有段时间某银行的数据泄露，源头竟是一个外包客服把客户信息打包卖给了催收公司。一张卡的信息在黑市上卖五十块，包含卡号、有效期、持卡人姓名，唯独没有CVV。但很多小商户的支付页面根本不校验CVV，填个卡号就能扣款。

更荒诞的是，有些漏洞是银行自己留的。为了让你“用卡体验顺畅”，小额免密支付默认开启，单笔三百以下连密码都不用输。有一次我在便利店买瓶水，pos机“滴”一声就扣款了，收银员甚至没让我签名。要是卡丢了，捡到的人能在三十分钟内刷掉好几千——每笔都低于免密限额，根本不会触发短信提醒。等你发现时，骗子早把卡扔进下水道了。

还有那些“积分换礼”的钓鱼短信。我同事收到过一条，说积分即将清零，点链接兑换保温杯。他点了，页面和银行官网一模一样，只是网址多了一个字母。他输入卡号密码后，页面转圈转了三分钟，然后跳回官网首页。他以为是系统卡顿，第二天才发现卡里少了八千块。后来银行追回了这笔钱，但把他的卡冻结了，让他重新办一张。他问我：“为什么银行不直接拦截那个钓鱼网站？”我没法回答，因为我查过，那个网站注册在境外，服务器三天换一次，银行就算举报，等域名被封的时候，骗子早换了新皮。

最讽刺的是，信用卡的漏洞往往出在“补救措施”上。挂失要收五十块手续费，盗刷赔付要填一堆表格，还得证明“不是你本人消费”。有人为了省这五十块，拖了一天才挂失，结果多损失了两千。银行客服会告诉你“我们有24小时盗刷保障”，但细则里写着“需在挂失前72小时内报案，并提供报警回执”。你大半夜被盗刷，派出所值班民警让你“明天再来”，等第二天拿着回执去银行，人家说“超过24小时了，不予赔付”。

我后来把那张低额度卡注销了，改用储蓄卡。虽然也绑了快捷支付，但至少卡里没钱时，骗子刷不出东西来。朋友笑我因噎废食，我说不是，我只是想明白了一个道理：信用卡的漏洞不在芯片里，不在网络上，而在“信任”这个词被过度消费了。你信任银行会保护你，银行信任商户会验证身份，商户信任系统不会出错——链条上每一环都松一点，最后崩掉的就是你的钱。