2023年夏天，我收到一条银行短信，提示信用卡在境外发生了一笔198美元的消费。卡在我手里，人在国内，POS机在越南。这笔钱最终被追回了，但过程折腾了将近三周。银行客服告诉我，卡号、有效期、CVV码被完整泄露，大概率是某个境外购物网站的数据被拖库。

CVV是Card Verification Value的缩写，Visa叫CVV2，万事达叫CVC2，银联叫CVN2。它就是你卡背面签名栏旁边那三到四位数字。设计它的初衷很简单：证明刷卡的人手里确实拿着这张实体卡，而不是只偷到了卡号。可这个设计有个致命漏洞——它一旦生成就永远不变，跟密码不一样，你改不了。卡号泄露了可以挂失换卡，CVV泄露了，只要卡没过期，它就一直有效。

盗刷的人拿到CVV之后怎么操作？最常见的是“无卡交易”。不需要实体卡，不需要密码，只需要卡号、有效期、CVV这三样东西，就能在境外很多电商平台上完成支付。航空公司买机票、酒店预订、游戏点卡充值、数字货币交易所入金——这些场景对CVV的验证几乎是唯一的门槛。有的平台连账单地址都不校验，填个邮编就能过。

更隐蔽的一种玩法叫“CVV养卡”。盗刷者不会一次性把钱刷光，而是先做一笔小额消费，比如1美元或者0.5美元，测试这张卡是否有效。如果成功，过几天再来一笔大的。持卡人如果没开通消费提醒，很可能完全察觉不到。我一个做支付风控的朋友说，他们后台看到过同一张卡在三天内被不同IP、不同设备、不同国家尝试绑定，金额从0.1美元到2000美元不等。这就是典型的“养卡—试卡—收割”链条。

CVV是怎么泄露的？途径比大多数人想的要多。境外小网站用HTTP明文传输支付信息，中间人一抓一个准。第三方支付插件留后门，把表单数据同步到境外服务器。还有更原始的——有人在电话里冒充银行客服，说你卡被盗刷了，需要核实CVV确认身份。我听过一个案例，受害者被骗子引导念出了卡背面全部数字，挂电话后五分钟内就被刷走了三笔。

那普通人能做什么？几个实际管用的动作。第一，把境外无卡交易功能关掉。大部分银行App里都有这个开关，默认可能是开的，手动关掉之后，境外线上盗刷直接失败。第二，开通每一笔消费的实时提醒，短信或者App推送都行，金额再小也要提醒。第三，CVV码可以用贴纸遮住，虽然防不了线上泄露，但能防住线下偷窥。第四，不要在任何非银行官方渠道输入CVV，包括那些看起来很像银行页面的链接。

银行这边也在改。部分银行推出了“动态CVV”，卡背面那块小屏幕每隔一段时间自动换一个验证码。技术上是有效的，但成本高，目前只覆盖少数高端卡种。另一个方向是Token化，把真实卡号替换成一次性令牌，Apple Pay和Google Pay已经在用这套机制。可惜国内很多安卓机型的NFC支付还没完全铺开。

说到底，CVV盗刷的核心矛盾在于：支付便利性和安全性之间的平衡点被境外电商平台严重偏向了便利那一侧。只要一个网站愿意接受“卡号+有效期+CVV”就能付款，这个漏洞就永远存在。你能做的，就是把自己的卡管得紧一点，别给那些不设防的平台留机会。