CVC／CVV 是什么？信用卡安全码位置、用途与泄露处理
CVC、CVV、CVV2、CVC2 和 CID 的名称不同，但对持卡人来说，通常都指卡片或发卡银行应用程序显示的 3 位或 4 位安全码。它不是提款密码，也不是银行临时发送的一次性验证码。
图片来源：恒生银行信用卡启用说明。卡面设计可能因发卡机构和卡种而异。
不同名称对应什么位置？
支付品牌和卡片设计不同，名称与位置也会变化。最稳妥的做法是按付款页面提示，再核对实体卡或发卡银行官方应用程序。
| 常见卡组织 | 常见名称 | 位数与位置 |
|---|---|---|
| Visa | CVV2 | 实体卡签名栏上的 3 位数字 |
| Mastercard | CVC2 | 具体位置按卡片设计及发卡机构指示确认 |
| American Express | CID | 香港官方资料所示为实体卡正面、卡号上方的 4 位数字 |
如果实体卡没有印出完整资料，不要根据卡号自行推算。应登录发卡银行官方应用程序或查看该卡的官方说明。
安全码在网上付款中做什么？
安全码主要用于网上、电话等没有读取实体卡芯片或磁条的交易。以 Visa 的说明为例，付款系统会把持卡人输入的 CVV2 交给发卡机构核对，以增加付款者掌握该卡资料的可信度。
这不等于输入正确安全码就能证明付款者身份，也不代表交易一定获批。发卡银行仍可能根据交易风险，要求一次性验证码、应用程序确认或其他验证。
为什么保存信用卡后不必每次输入？
PCI Security Standards Council 明确规定：商户在一笔交易获得授权后，不得保存 CVC、CVV 或 CID；即使经过加密、持卡人同意，或用于已保存信用卡和定期付款，也不能成为保存安全码的理由。
因此，网站下次付款没有再次要求安全码，不表示它保存了安全码。后续交易可以按照商户、支付服务商和发卡机构的其他流程处理。持卡人无法单凭结账页面判断后台合规情况，但遇到声称“为了以后方便而永久保存 CVV”的服务，应停止提供资料。
CVC、OTP 和 PIN 不要混淆
| 资料 | 通常从哪里取得 | 主要用途 | 是否可以告诉他人 |
|---|---|---|---|
| CVC／CVV／CID | 实体卡或发卡银行官方应用程序 | 无卡交易验证 | 只在自己确认的付款流程中输入 |
| OTP／一次性验证码 | 银行短信、应用程序或验证工具 | 核准某次登录、绑定或交易 | 不向来电者、客服或聊天对象透露 |
| PIN／提款或交易密码 | 持卡人设置或银行安全发出 | ATM 或部分实体交易验证 | 不在网页聊天、短信或电话中提供 |
即使付款页面已经要求安全码，银行仍可能再要求 OTP。输入前应核对短信或应用程序显示的商户、金额和币种，不要只看验证码本身。
什么时候可以输入，什么时候应停止？
在你主动发起购买、确认商户身份和网址，并看清金额及币种后，在正式付款页面输入安全码属于正常流程。
遇到以下情况应停止：
- 来电者、短信、WhatsApp 或电邮要求你读出完整卡号、安全码和 OTP；
- 链接声称要处理退款、账户异常或解除冻结，却要求重新输入整套信用卡资料；
- 付款网址、商户名称、金额或币种与原先操作不一致；
- 对方催促你忽略银行警告，或要求分享屏幕和安装远程控制软件。
香港金融管理局建议持卡人在提供个人和卡资料前核实商户及网站，并检查 OTP 所列的交易资料。不要使用讯息中的电话号码核实；应从发卡银行官方网站、官方应用程序、月结单或卡片背面寻找联络方式。
安全码可能泄露后立即做什么？
- 停止继续输入资料。 不再提交 OTP、密码或身份证明，也不要继续点击可疑页面。
- 通过官方渠道联系发卡银行。 说明卡号及安全码可能泄露，让银行判断是否需要暂停、注销或更换卡片。
- 检查近期交易和通知。 小额陌生交易也要留意，发现未授权交易立即向发卡银行报告。
- 保存可疑讯息和网址。 保留短信、电话、聊天记录和交易资料，方便银行或警方跟进。
- 检查其他账户是否共用资料。 若同时泄露登录密码，应从可信设备更改密码，并按账户资料维护清单检查登录设备和联络资料。
如果已经出现未经授权交易、假客服或远程控制，可继续查看怀疑遇到投资诈骗后的处理步骤。处理速度很重要，但是否退款、换卡或承担交易责任，仍要以发卡银行调查和适用条款为准。
常见问题
商户可以保存我的 CVV 吗？
特定交易获得授权后不可以。PCI DSS 的限制也适用于已保存信用卡和定期付款，而且不能以加密或持卡人同意作为例外。
没有输入 CVV，信用卡仍可能被扣款吗？
可能。已保存信用卡、定期付款或其他交易流程未必每次重新要求安全码。安全码只是支付验证的一部分，不应把“这次没有输入”直接理解为诈骗，也不应把“已经输入”理解为交易绝对安全。
安全码泄露后一定要换卡吗？
不一定由持卡人自行判断。应立即通过官方渠道联系发卡银行，由银行根据泄露范围、交易记录和卡片状态决定是否暂停或更换。