作者：李麗夢

9月12日晚8點，蘋果iPhone 18 Pro及iPhone 18 Pro Max在中國香港官網正式開放預購。然而，預購開啓後不久，多名香港市民在社交平台發文稱，自己根本沒有預訂手機，卻接連收到銀行發來的信用卡「無卡支付」交易通知，交易對象均指向Apple網上商店。

據香港居民在社交平台上發文表示，一名事主接連收到6筆、每筆13299港元的扣款提示，累計近8萬港元；另有人被連續扣款3筆、每筆22998港元。損失最大的單個個案，涉及金額達11.4萬港元。

據香港警方通報，9月12日至13日兩日內，電子報案中心已接獲逾700宗報案，涉款合計約1470萬港元，案件暫列「以欺騙手段取得財產」跟進，暫未有人被捕。滙豐、恒生、渣打、中銀香港等銀行先後表示已注意到事件，將展開調查並適時啓動退單機制。

不是第一次了

2025年9月iPhone 17預售階段，香港就爆發過一輪幾乎相同的信用卡批量盜刷：同樣是預購開售夜、同樣是「無卡支付」、同樣是一批從未下單的持卡人收到扣款短信。

據港媒星島頭條報道，有網民分享過往經歷，指自己上次iPhone 17推出時亦曾遇到信用卡疑遭盜用的情況，自己當時報警及聯絡Apple後未能解決，並引述Apple職員給出的口徑是：「只要交易未能成功扣款，產品便不會出貨。」

一年過去，相似的劇情在同一個時間點、以更大的規模重演。

截至目前，尚未見針對這一模式的驗證機制調整。9月13日，香港資訊科技商會榮譽會長方保僑在接受媒體採訪時，將矛頭指向交易驗證環節，涉事網站未啓用3-D Secure（3DS）額外驗證。

方保僑表示，信用卡被盜用事件可能涉及Apple Online Store為保障預訂時的流量順暢，採用了動態風險評估，以豁免部分交易的短信驗證碼或應用程式認證。「可能是故意不開，交易可以儘快完成。這個網站本身沒做3DS功能，只要他們有你信用卡資料，就已經買到東西。」

在正常流程中，3DS會在付款時要求持卡人完成雙重認證，例如輸入短信一次性密碼或在銀行App內確認，等於給「無卡支付」上了一道鎖。商戶是否啓用這道鎖，屬於商業選擇。

據內地科技媒體報道，有業內人士進一步分析，為提升搶購時的支付流暢度、縮短付款等待時間，蘋果官網對部分訂單可能啓用「動態風險豁免」，跳過3DS二次驗證直接扣款。黑產團伙正是利用此前泄露的信用卡卡號、安全碼，在預售夜批量發起無卡交易，搶購潮的人流掩蓋了異常交易，得手的iPhone又是公認的硬通貨，銷贓順暢。

需要說明的是，上述豁免機制的說法目前僅為業內人士推測，尚無蘋果官方或監管機構證實。

蘋果香港發言人回應媒體問詢時表示，所有已收到的訂單均會在處理前接受審核，Apple HK正儘快識別及取消任何可能已被提交的欺詐交易。但對於是否啓用3DS驗證、是否存在「動態風險豁免」機制，蘋果未作進一步說明。

誰來買單？

對於卡主最關心的問題，香港金管局的表態相當明確：個別商戶可能基於營運考慮，不使用或暫停額外認證安排；相關未經授權交易的責任及財務損失，須由商戶承擔。卡主倘無嚴重疏忽，無需為未經授權交易承擔責任。

各銀行的口徑與此一致：經覈實的未經授權交易，客戶毋須承擔款項；只要合理謹慎地用卡並及時通報，銀行將協助完成退款。

換言之，只要處理得當，這1470萬港元大概率不會落在市民頭上。但成本不會消失，只是轉移到了商戶一側。

而只要「用免驗證換流暢度」的機制不變，明年9月的預售夜，大概率還會有下一輪。年年退單善後，從來不是治理。

收到不明釦款，現在做三件事：第一，立即封卡。通過銀行App或客服熱線凍結信用卡，越快越好。已有事主在封卡過程中仍被刷了第二筆；第二，報警。經警方電子報案中心提交報案，保留短信截圖和交易記錄；第三，申請退單。向髮卡銀行提交爭議交易申請，配合調查。另需留意：預售階段的扣款多為預授權性質，訂單未最終確認，蘋果不會安排發貨。

專家同時建議，持卡人可主動調低網上交易限額，或向銀行申請為無卡支付增設驗證，為賬戶多加一道鎖。