新機預購一夜700宗盜卡 　揭網購存漏洞須盡快修補

iPhone 18 Pro預購開啟當晚，超過700名香港市民的信用卡遭人盜用，在蘋果香港官網完成交易，兩日內報案涉款約1,470萬元，最大一宗達11.4萬元。有苦主連續收到六個、每個13,299元的交易短訊，累計被盜刷近8萬元。黑客並非在不知名的釣魚網站上騙取資料，而是在全球最知名品牌的官方銷售渠道上，以自動化手段批量完成交易。本港網購安全防線在促銷高峰之下，暴露出明顯缺口。

商戶為追求「速度」犧牲了「安全」

問題的核心指向3D Secure驗證機制。正常網購交易在輸入信用卡資料後，銀行會要求透過一次性密碼或手機應用程式確認交易，過程約需30至40秒。有立法會議員指出，商戶疑為縮短排隊時間、避免網絡資源擠塞，在「安全與做生意速度」之間選擇了後者，暫停了額外驗證保護。多家發卡銀行均表示，是否啟用3DS由商戶自行決定。保護消費者的最後一道防線，被掌握在一個有強烈動機追求交易速度的商業實體手中。

金管局早已表明，個別商戶若基於營運考慮而不使用或暫停額外認證安排，須承擔非授權交易的責任及財務損失。規則寫得清楚，但現實中的權衡邏輯卻朝着相反方向傾斜。行業數據顯示，啟用3DS驗證平均導致線上轉化率下降10%至20%，在搶購場景下，每一秒的驗證延遲都可能意味着訂單流失。當「速度」成為促銷活動的核心競爭力，「安全」便成了第一個被犧牲的變量。

商戶享受高轉化率也應承擔相風險

此次事件的損失承擔方在技術上早有定論。按照信用卡組織規則，若交易經過3DS驗證，盜刷責任由發卡行承擔；若跳過驗證，則責任轉移至商戶側。這意味着商戶在享受「無驗證交易」所帶來的流暢體驗與更高轉化率的同時，也應承擔相應的風險成本。金管局的表態為這一責任歸屬提供了監管背書。然而，當受害者的退款申請同時湧向銀行與商戶，退單機制的處理效率、責任認定的具體標準，以及對「動態風險豁免」是否構成「暫停認證」的解釋，都將面臨現實考驗。根本問題在於，金管局的指引是原則性的，缺乏可量化的執行標準。商戶在多大程度上「暫停」了驗證、以何種標準判定「風險可控」、事後如何證明其風控措施足夠審慎，這些灰色地帶恰恰是下一次事故的溫床。

監管框架未能有效應對犯罪手法升級

這一事件對香港整體的電子支付安全環境發出了警號。本月初，金管局才公布近400宗支付卡被騙徒綁定至非接觸式流動支付裝置的騙案。兩宗事件的手法各異，但共同指向一個趨勢：隨着電子支付的應用場景不斷擴大，犯罪手法亦在同步升級，而現行的監管框架與風險分擔機制，似乎未能有效應對這種升級。當一個國際品牌的官方網站在促銷高峰期都無法抵禦自動化批量盜刷，中小型電商平台的處境只會更加脆弱。

商戶追求交易流暢無可厚非，但不能讓流暢以關閉驗證機制為代價。金管局的責任分工寫得清楚，卻缺乏可執行的量化標準；商戶的自主決定權得到尊重，卻未被有效約束。安全與效率之間，不應是二選一的選擇題。若監管框架繼續停留在原則層面，下一次預購熱潮來臨時，同樣的劇本只會再次上演。