丁先生睡到凌晨六点，手机上跳出一串境外扣款提醒：他的卡在美国被连续刷了 17 笔，共 8.7 万余元。卡就在枕头边，密码从没告诉过任何人，人也从没出过境。银行的答复是：交易凭密码完成，视为本人交易。
密码在我手里，钱是怎么被刷走的？
因为盗刷根本不需要偷走你的密码。常见的是三条路。一是伪卡：老的磁条卡信息很容易被装在 ATM 或 POS 机上的外接设备侧录，配一个针孔摄像头或键盘贴膜，密码也就一起被录走了；境外不少通道至今仍只认磁条，克隆卡拿侧录来的信息就能完成交易。二是无卡支付：网上付款只需要卡号、有效期、卡背面的三位码和手机验证码，全程用不到取款密码，验证码一旦被钓鱼套走，钱就出去了。三是信息在商家或收单环节泄露——丢信息的是别人，亏钱的是你。
丁先生那笔交易的摘要写得很典型：“接触式读取磁条，交易中包含 PIN”——芯片磁条复合卡走了磁条通道，这就是缺口。后来法院认定属于伪卡盗刷，判银行全额赔偿本金和资金占用费。
银行说“密码只有你知道”，这话成立吗？
这句话只是银行的主张，不是结论。最高法院银行卡纠纷的规定写明：持卡人可以拿真卡所在地、交易明细、报警和挂失记录来证明是盗刷；银行主张是本人或授权交易的，由银行拿交易单据、监控录像、验证信息来证明（第四条）。换句话说，密码核对通过，只能说明交易“验证方式”走了一遍，证明不了操作的就是你本人。
法院也是这么判的。有法院明确指出：银行“凭密码交易视为本人操作”的条款，只适用于真卡交易，套不到伪卡盗刷上；南宁江南区法院在另一起案子中也判银行全赔——人在大陆没出境，卡却在我国台湾地区的 ATM 上被取了现，出入境记录加真卡在手，就足够了。银行拿不出你泄露密码的证据，就得先赔。
什么情况下，银行确实可以少赔或不赔？
分界线不在“密码有没有被刷”，而在“有没有可归责于你的泄露”。按同一规定第七条：持卡人对密码、验证码等未尽妥善保管义务有过错的，银行主张其承担相应责任的，法院支持。也就是说，验证码是自己告诉别人的——包括听“客服”的指令、点不明链接、装不明应用；卡或手机借给他人用；发现异常迟迟不挂失，扩大那部分损失自己承担。云南一家法院的判决里，持卡人因为长时间没查看账户变动通知、未及时止损，被判自担 20%，银行赔 80%。反过来说，只要泄露不怪你，银行又举证不了你的过错，赔偿比例就倒过来。
发现被盗刷，现在该做什么？
第一步立刻挂失、报警，保留回执和询问笔录；第二步到柜台打印交易明细，看交易摘要——如果显示“磁条交易”，伪卡的嫌疑就坐实了一半；第三步拿真卡去就近 ATM 做一笔查询或存取款并留好凭条，证明卡没离身；第四步在手机银行里关闭境外无卡支付、调低限额，长期不用的磁条卡换成芯片卡。索赔的诉讼时效是三年，但监控录像保存不了多久，越早主张越有利。
结语
密码没泄露，不代表银行没有责任，恰恰说明问题出在它的卡和系统上——“伪卡能刷成功”这件事本身，就是银行防伪技术没做到位。卡在手、人在本地、及时挂失报警，这三样证据在手，银行一句“凭密码交易”挡不住索赔。
北京江石律师事务所所内金融与银行争议团队长期办理银行卡盗刷、储蓄存款合同、信用卡纠纷等案件，可协助审查交易摘要与证据链条、起草索赔函与起诉材料。遭遇“卡没离身却被刷”的，可把流水、报警回执和银行答复交给我们先看一遍，再决定下一步。