那天在一个境外的订阅页面填信息，盯着卡片背面那串数字发呆，才真正去琢磨信用卡cvv码是什么，之前一直以为它就是随便填的一串校验数字，和支付密码是一回事，输进去只是走个形式，根本没想过它权限会这么大。页面上没有短信验证的弹窗，也没有跳转银行的确认界面，卡号、有效期加上这三个数字填完，点提交的一瞬间，手机银行推送的扣款通知就弹了出来，整个人愣在原地，手指还悬在屏幕上面，都来不及撤回操作。

之前办卡的时候，柜台工作人员只提过一句不要随便给别人看卡背面，说得很笼统，那时候没往心里去，卡片随手丢在钱包外侧，有时候结账递给店员，也没想着要遮挡后面那一小块区域，总觉得只要不泄露交易密码，钱就不会出问题。好多线上的支付场景，只要拿到卡号、有效期还有这串cvv，就能直接发起扣款，不用实体卡片，也不用平时刷卡输的那个密码，这点是完全超出我预想的。

朋友跟我说，他之前在网上找代充服务，主动把这串数字发给对方，没过半小时，连着两笔陌生消费就出现在账单里，后面和平台、银行来回拉扯，提交申诉材料，等了快一个月，损失才追回一部分。他说他当初以为商家只是核验身份，哪知道拿到信息之后就能直接下单扣费。

卡拿到手没多久的时候，还傻傻拍过一张卡片完整照片发给别人，现在回头想，后背都有点发紧。那张照片里背面的数字清清楚楚，要是对方存下来，随便找个支持无卡支付的渠道，就能尝试交易。后来养成一个习惯，不用的时候，用一小块贴纸贴住那串数字，需要用的时候再揭开，用完马上重新贴上，就是怕随手放着被别人瞟到。

不是所有线上支付渠道都要这个码。

国内大部分购物软件绑定卡片之后，走快捷支付，大多依靠短信验证码或者人脸核验，很少会再反复要求输入cvv，所以很长一段时间，都没有意识到它的风险主要集中在境外网站、一些小众的订阅站点，还有各类私下交易的场景里。同一个卡片，在不同平台的校验规则差的很远，有的平台只是临时核验一次，保存了卡片信息之后，后续自动续费都不用再重新录入，续费的时候银行那边也不会额外发提醒。那次被扣费之后，第一件事就是进到银行的卡片设置页面，把境外无卡支付的开关给关掉，只是关掉之后，一些需要用到这个验证方式的订阅，就没法再正常续费了，算是一个取舍。

折腾好久才搞明白，它印在卡背面，一般是三位，少数卡种是四位，是发卡行用来核验卡片持有人持有实体卡的凭证，设计的初衷本来是用来确认操作的人手上拿着这张卡，而不是单纯知道卡号。但很多商户的风控做的简单，拿到这三样信息就放行，没有叠加二次验证，安全门槛一下子就降的很低。银行客服那边也讲，这个码本身没有单独的锁定功能，泄露之后最稳妥的办法就是挂失换卡，换卡之后卡号有时候不变，但cvv码会直接更新，旧的那串就失效了，只是挂失换卡要等邮寄，中间还有几天空档。

也试过问客服能不能单独重置这个数字，不用换整张卡片，得到的答复是不行，这套信息是和卡片绑定在一起的，没有单独修改的入口。当时还抱着侥幸，想着只是填给一个看起来正规的站点，不会有泄露问题，结果那次扣款之后，连着几天都会打开账单反复翻看，盯着每一笔明细，生怕还有别的自动扣费订单悄悄跑出来。后面去取消那个订阅的时候，网站后台还存着我的卡片信息，关闭自动扣费的按钮藏的很深，找了很久才找到。

只代表我个人遇到的情况，别的人在别的平台支付，触发的校验规则可能完全不一样，有的站点就算填对cvv，也会强制短信核验，风险会小很多。

钱包里那张卡的贴纸，到现在还贴着。