打开手机银行，突然发现信用卡上多了一笔自己从来没有消费过的交易。
金额可能只有几十加元，也可能一次就是几千加元。更麻烦的是，有时候信用卡一直在自己钱包里，并没有丢失，卡号却已经被别人拿去消费。
遇到这种情况，最重要的不是先研究骗子是怎样拿到卡号的，而是立即阻止损失继续扩大，并正式向发卡机构报告Unauthorized Transaction（未经授权交易）。
加拿大金融消费者管理局（FCAC）指出，如果发现信用卡或账户存在未经本人进行或授权的交易，应立即通知金融机构或信用卡发行机构，同时报告所有不是本人进行或批准的交易。
简单来说，正确顺序应该是：先保护账户并联系银行 → 正式报告陌生交易 → 保存证据 → 检查是否还有其他异常 → 必要时报警并检查信用报告。
而不是等下个月账单出来以后再处理。
信用卡还在自己手里，为什么也会被盗刷？
很多人发现盗刷以后第一反应是：“我的卡根本没有丢，别人怎么刷的？”
实际上，信用卡诈骗并不一定需要拿到实体卡。FCAC列出的常见方式包括盗取邮件或账单中的信用卡资料、入侵保存付款信息的电脑系统、在付款终端安装窃取卡片信息的装置、利用钓鱼邮件或短信骗取信用卡资料，以及通过假冒网站、遗失或被盗的手机获得付款信息。
所以，即使信用卡从来没有离开过钱包，也不能说明卡片信息没有泄露。
现在大量信用卡交易可以在线完成，只要信用卡号码、有效期以及其他验证资料遭到泄露，就可能出现Card-not-present Fraud，也就是根本不需要拿到实体卡的盗刷。
这也是为什么检查信用卡账单不能只在卡丢失以后才做。
第一步：马上锁卡，并联系信用卡发行机构
如果手机银行提供Lock Card或者Freeze Card功能，发现异常以后可以立即暂时锁卡，避免新的交易继续发生。
但需要特别注意：锁卡不能代替正式向银行报告盗刷。
FCAC目前明确建议，如果发现未经授权或可疑交易、信用卡丢失或被盗，或者用于银行业务的手机遗失，都应该立即联系信用卡发行机构。
联系银行时，应明确告诉对方：这笔交易不是自己进行的，也没有授权其他人进行。如果不止一笔，就把所有可疑交易逐笔指出来。
银行通常会进一步确认交易情况，并决定是否取消现有卡片、重新发行新卡以及启动争议调查程序。
如果怀疑网上银行密码、信用卡密码或者PIN同时泄露，也应该立即修改相关密码和PIN。FCAC同样建议，在出现未经授权交易风险时立即采取这些措施。
第二步：不要只说“我没买过”，要把记录留下来
向银行报告以后，最好把整个过程记录下来。
包括什么时候第一次发现陌生交易、交易日期和金额、商户名称、什么时候联系银行，以及与哪位工作人员沟通过。
FCAC在信用卡欺诈指引中也建议受害者记录事情经过、发现欺诈的方式，并保存可能对调查有帮助的文件。
例如，某笔盗刷发生时自己正在加拿大，而信用卡却突然出现在另一个国家消费；或者自己从来没有注册过某项服务，却连续出现订阅扣款，这些信息都值得保留。
如果收到过可疑短信、邮件或商户通知，也不要马上删除。它们以后可能成为银行或警方调查时需要的资料。
信用卡被盗刷，银行一定会把钱退回来吗？
这是很多人最关心的问题。
按照加拿大目前针对银行发行信用卡的消费者保护规定，如果有人未经允许使用信用卡，持卡人的最高责任金额依法一般不能超过50加元，除非持卡人在保护相关账户或认证信息方面存在Gross Negligence（严重疏忽；魁省使用Gross Fault的概念）。信用卡协议也必须说明未经授权使用时的最高责任。
与此同时，Visa、Mastercard和American Express都作出了针对未经授权交易的消费者保护承诺。在符合相关条件的情况下，持卡人通常不会承担这些未经授权交易造成的损失。
但这里不能简单理解成：“信用卡被盗刷，银行无论如何都会赔。”持卡人本身也有责任采取合理措施保护信用卡、PIN、密码和账户资料，并且发现问题后及时报告。
因此，真正重要的是不要拖延，也不要因为觉得“反正银行会赔”而忽视账户安全。
银行不能因为交易用了正确密码，就直接认定是你本人
还有一种比较容易产生争议的情况。
银行调查时发现，这笔交易使用了正确的PIN或者其他身份验证技术，于是消费者担心：“既然密码是对的，银行是不是就会认为一定是我自己刷的？”
并不是这样。FCAC明确指出，对于受联邦监管的金融机构，不能仅仅因为未经授权交易使用了某种身份验证技术，就直接认定消费者应该承担责任。
金融机构必须对消费者提出争议的交易进行调查，并考虑所有相关情况。即使交易使用了PIN、磁条或者其他技术，也仍然需要调查。
例如PIN可能被偷窥，信用卡可能被盗，设备可能出现问题，或者消费者可能受到胁迫。所以，如果消费者确定交易不是自己完成的，不应该仅仅因为银行告诉你“这笔交易通过了PIN验证”就认为没有办法申诉。
什么时候消费者自己可能要承担损失？
虽然加拿大消费者对未经授权交易有相当程度的保护，但保护并不是没有条件。
FCAC列出的可能导致消费者承担损失的情况包括，把出生日期或电话号码等容易猜到的信息作为PIN、把PIN告诉其他人甚至家人、把PIN写在信用卡背面或与卡片放在一起、没有按照信用卡协议要求及时报告卡片遗失或被盗，以及拒绝配合未经授权交易调查等。
这也是为什么信用卡或手机一旦丢失，不应该先等几天看看能不能找回来。如果手机里安装了银行App或者Mobile Wallet，更应该马上处理。
小额陌生交易也不要忽略
有些人看到信用卡上出现一笔2.99加元或者10几加元的陌生交易，会觉得金额太小，没有必要折腾。
这种想法存在风险。陌生交易本身已经说明信用卡资料可能被其他人掌握。因此，不要仅仅因为金额很小就默认它是正常交易。
当然，首先可以确认是不是自己忘记的订阅、家庭成员的附属卡消费，或者商户名称在账单上显示成另一个公司名称。
如果确认不是自己或授权用户进行的交易，就应该按照未经授权交易处理，而不是等待下一笔更大的盗刷出现。
信用卡被换掉以后，别忘了检查自动付款
如果银行因为盗刷取消旧卡并重新发卡，通常会得到一个新的信用卡号码。这时候还有一件很实际的事情容易忘记：检查原来绑定这张信用卡的自动付款。
例如手机费、网络费、保险费、健身房会员、流媒体订阅以及其他Pre-authorized Payment。部分商户可能能够通过支付网络的更新服务继续获得新卡信息，但不能假定所有自动付款都会自动转移。
因此拿到新卡以后，最好检查所有重要的定期付款账户，确认付款方式是否需要更新。否则盗刷问题解决了，却因为保险费或手机账单没有成功扣款又产生新的麻烦。
什么情况下需要报警？
如果信用卡只是出现一笔可疑交易，第一步仍然应该是联系发卡机构，而不是先等警方处理。
但是，如果已经确认属于信用卡欺诈，特别是涉及较大金额、身份盗用、钱包或手机被盗，或者发现有人使用个人身份开设其他账户，就应该考虑向当地警方报告。
FCAC针对信用卡欺诈的指引建议受害者保存相关文件，并向当地警方报告，同时可以向由加拿大皇家骑警（RCMP）和加拿大反诈骗中心共同管理的National Fraud Reporting System报告欺诈或网络犯罪。
警方报告编号也可能成为后续银行、信用机构或者身份盗用调查中的重要记录。
如果不仅是信用卡盗刷，还出现陌生贷款怎么办？
这种情况就比单纯信用卡号码泄露严重得多。
如果查看信用报告时发现一张自己从来没有申请过的信用卡、贷款或者其他账户，就要考虑是否发生了Identity Theft。
加拿大主要的两家信用机构是Equifax和TransUnion。FCAC建议信用卡欺诈受害者可以联系两家信用机构，获取并检查自己的信用报告；如果怀疑身份欺诈或身份盗用，还可以要求在信用报告中加入Fraud Alert。
Fraud Alert的作用，是提醒贷款机构申请人可能是欺诈或身份盗用受害者，在批准新的信用申请前进一步确认身份。
所以，如果信用卡被盗刷的同时又发现陌生Hard Inquiry或者新账户，就不能只换一张信用卡了。
这时需要把整个个人信用身份一起检查。
银行拒绝赔偿，也不代表事情到此结束
如果银行调查以后认为交易应该由持卡人负责，而消费者不同意这个结论，可以要求银行说明理由，并使用金融机构的正式投诉处理程序。
加拿大受联邦监管的金融机构必须建立投诉处理程序。FCAC也明确指出，消费者对未经授权交易的处理结果存在争议时，可以按照金融机构的投诉程序继续提出投诉。
特别是如果银行只是因为“交易使用了正确PIN”或者“系统显示验证成功”就简单认定消费者本人完成交易，更应该要求进一步说明调查依据，因为联邦消费者保护规则要求金融机构考虑完整情况，而不是仅凭认证技术作出判断。
真正有用的是把“发现盗刷后的顺序”记住
信用卡盗刷发生以后，消费者最容易犯的错误其实不是不知道什么是Fraud，而是不知道应该先做什么。
最简单的处理逻辑可以记成：发现陌生交易 → 立即保护账户 → 联系发卡机构 → 正式报告未经授权交易 → 保存沟通和交易记录 → 检查其他账户及信用报告 → 涉及欺诈或身份盗用时进一步报警和报告。
同时，不要把信用卡PIN告诉任何人，不要使用生日或电话号码作为PIN，定期查看信用卡交易，并尽可能启用Multi-factor Authentication。FCAC也建议持卡人至少每月检查信用卡账单，并在发现未经授权交易时立即报告。
信用卡被盗刷并不意味着损失一定要由持卡人自己承担。
但加拿大消费者保护制度能够发挥作用的一个重要前提，就是发现问题以后及时报告，并且能够清楚证明自己没有授权这笔交易。
这也是为什么，与其等到账单月底才检查信用卡，不如平时就养成定期查看交易记录和开启银行通知的习惯。
延伸阅读：
1. 孩子教育基金：RESP vs 保险储蓄，家长该怎么选？
