从2008年开始用的花期的PremiumMiles 信用卡，一直挺好的。

直到刚刚起床看到花期今天凌晨00：25给我发的短信。上面也没有什么，只是让我打电话回去确认一下一个交易，也没有具体说是哪笔交易。本来不想打热线的，因为对语音很反感，而且每个月的电子账单我还是会查的。不过想想昨天刷了一笔4000多新币的交易，会不会多刷了一次什么的，就打过去了。

　

接线员LISA告诉我昨晚午夜时分，我的卡被刷了差不多2000美元。什么！！！说是一个叫 ashford.com 的，LISA说也不知道是不是online transaction，对于这项交易，她无可奉告。估计要等技术部门的调查了。打电话的同时，打开电脑登录花旗银行。网上银行没有相关交易，unbilled 和 pending 里面都没有。查看了昨天和今天花旗给我发的信息，只有昨天那4000多新币的交易。为什么没有收到手机短信通知呢？说好的 2FA 呢？电话那头，LISA通知我说，我的花旗信用卡会被冻结，他们会在3- 5 个工作日寄一张新卡（不同卡号的，可怜了我那用了快10年的16位号，都能背下来了）。

　

本来以为说，事情结束了。后来想想，还是查看一下这个月的账单吧，反正也快月底了。这不看不要紧，一看吓一跳啊！！！5月18号那天也有盗刷，又是个美国公司，叫Borderfree，我的天哪，这次交易的是港币15，251.15！！！我可从来没有花这么大笔的钱！目前，用花旗的 Mailbox 发信给他们了，等待处理结果。关于这笔交易，我还真收到了花旗的确认短信，不知道为什么我没有注意到。

　

一直以为，拿盗刷什么的不会发生在自己身上。看来，大家还是不要掉以轻心。

　

现在想弄明白的是：

1、卡怎么被盗刷的？

2、那笔2000多美元的交易是怎么完成交易的？

3、为什么这次没有收到短信通知交易成功？

4、平时自己网购的话，要输入OTP交易才能继续。盗匪是怎么绕过这道程序的？

---

该帖荣获当日十大第3，奖励楼主15分以及22华新币，时间：2017-05-27 22:00:02。

borderfree是转运公司。 估计有人刷了你的卡买了表运去香港。 但是运费不能比表还贵啊。 打电话或者发邮件去ashford问问?

并不是所有网站都有3D secure的， 有些网站并不需要OTP。

otp仅限新加坡的本地支付
你上美亚付款看看有没有otp

不知道哪些网站不需要OTP呢？有本地需要OTP, 外埠的不需要一说吗？
虽然本地和外国的都有网购的经历，可是没有很在意是不是每次都有OTP.

另外你的猜测应该不成立，因为Borderfree的交易在18号，Ashford的是今天

可能是吧
记得有一次Groupon买旅游配套，因为有收藏卡号信息等，点了购买马上就成功了，没有收到OTP，大概就是Groupon SG的交易平台在国外的缘故吧。

看来对帐单明细要多点心眼了

烦是没办法的。
OTP不是一定有的。但没有用的商户遇到纠纷就吃亏。银行反正要不收你钱，要不不给商户钱。你说了是盗刷，就要证明为什么不是。如果有用OTP的就比较容易证明。

3D Secure取决于商家的设置，不是必有的。

ashford.com那个citibank没有approve，所以没有短信通知，没有在pending或unbilled下面。

borderfree那个citibank approve了，所以有短信通知，在你的bill里面。

连续发生的话，是不是有一个有你信用卡资料的公司被hacked了？
在这个网站输入你的常用电邮，看看你有没有被波及（打开这个网站之前，先参考这个文章https://www.forbes.com/sites/adamtanner/2014/04/14/these-sites-tell-which-of-your-accounts-have-been-hacked再决定以防这个网站钓鱼）：
https://haveibeenpwned.com/

Oh no — pwned!
Pwned on 1 breached site and found no pastes (subscribe to search sensitive breaches)

Dropbox: In mid-2012, Dropbox suffered a data breach which exposed the stored credentials of tens of millions of their customers. In August 2016, they forced password resets for customers they believed may be at risk. A large volume of data totalling over 68 million records was subsequently traded online and included email addresses and salted hashes of passwords (half of them SHA1, half of them bcrypt).

Compromised data: Email addresses, Passwords

不过说的是DropBox，我是注册过一个，本来想存点什么东西的，可是后来没有，一直用的自己的移动硬盘。而且注册的时候也没有需要提供关于银行卡的私人资料

有很多情况都会泄露信息：
网购；
一些网站要求你存储信用卡信息，然后网站泄密；
在餐馆吃饭把卡拿给waitress被偷偷记下来，通常这种不会立刻被盗刷

确实非常的危险，信用卡在我看来真的是落后的支付方式，抽手续费，套现，安全性低，坑一大堆。