最近有新款手機開放預購後，演變成信用卡盜用騙案。多名市民在社交平台發文，指信用卡懷疑遭盜用於某網上商店購買新機，涉款由約一萬元至逾六萬元不等，牽涉滙豐、恒生、渣打等多間銀行。截至9月17日，警方接獲逾七百宗報案，涉款達一千四百七十萬元，最大一宗涉款逾十一萬四千元。事件規模之大、受害人數之多，值得社會正視，更值得銀行業界及監管機構認真檢討現行保障機制是否足夠。
值得留意的是，多名苦主反映，涉事交易在完成期間並未收到一次性密碼（OTP）或其他認證通知，部分信用卡更早已綁定Apple Pay，理應具備多重驗證保障，卻依然「被過關」。有專業人士估計，事件與該網上商店為保障預訂流量順暢，而採用「動態風險評估」機制、豁免部分交易的短訊驗證有關，騙徒正是利用這個空隙，結合早前透過釣魚網站或黑市取得的信用卡資料，在搶購熱潮期間集中盜刷得手。
這個解釋如果屬實，反映的問題並不簡單。銀行向來以「多重認證」作為信用卡安全的核心賣點，向客戶收取年費、宣傳防盜刷功能時，往往強調有關機制「固若金湯」。但這次事件說明，只要商戶端（例如網店）為求交易流暢而調低驗證門檻，銀行端的保安措施便可能形同虛設。消費者一直被告知「有OTP驗證就安全」，如今卻在毫不知情、亦未按任何驗證步驟的情況下，眼白白看着信用卡被盜刷數萬元，而這種落差，銀行必須向公眾清楚交代。
滙豐銀行事後表示會適時啟動退單機制並展開調查，倘客戶及時通報將協助退款程序，取態值得肯定，但社會更應追問的是：銀行的角色，只止於「事後補救」？信用卡發卡機構作為受規管的金融機構，理應對交易異常有更主動、更即時的監察責任。信用卡在短時間內先後被高頻率、高金額的連續交易，理應觸發銀行的風險預警機制，若最終卻要靠事主自行發現、致電查詢才得以停卡，這種「先盜刷、後追究」的處理方式，對消費者而言保障極為被動。
金融管理局多年來要求銀行業界加強打擊詐騙及網絡安全的能力，銀行亦不時以「AI風控」、「實時監測」等技術作招徠。這次多宗盜刷集中在短時間內發生，且金額不菲，銀行的風控系統理應能夠及時攔截或至少即時示警，而非任由客戶在毫不知情的情況下損手，事後才被動處理退款。金管局有必要要求相關銀行交代事發時風控系統的實際反應時間及攔截機制，並檢視是否需要就大型網購促銷活動，與商戶及銀行業界建立更嚴謹的協同驗證標準。
當然，消費者自身的警覺性同樣重要。市民不應在不明來歷的網站輸入並儲存信用卡資料，亦不應將卡號自動授權第三方代購，若發現異常交易，應第一時間聯絡發卡銀行及報警。
這次事故牽涉銀行與苦主數目之多，非個別偶發事故可以解釋。銀行公會及金管局應盡快介入，要求相關銀行盡快公開交代事故成因、風控失效的具體環節，訂立更嚴謹的商戶端驗證協調機制，避免同類事件在下一次新機促銷、或其他大型網購活動中重演。
