我在里斯本被扒了钱包，前后只用了三秒钟

钱包原本放在外套前面的口袋里，下一秒就不在了。我没感觉到有人碰我，没看见任何一张脸，连点动静都没听见。前后也就三秒，或者更短，银行卡、现金、证件全部不见了。这里有件事没人会提前告诉你。失窃本身其实最容易应付，真正难熬的是接下来那五分钟。

这堂课，我大概花了4000欧元才真正学明白。掏空账户的从来不是那个扒手，而是你的银行卡允许陌生人替你说“可以”到什么程度。

28路电车上的三秒钟

那是28E路电车，就是攻略里都会提一嘴的那辆黄色老爷车。我们在马丁莫尼什广场附近挤上车，肩碰肩地站在门口那一堆人里。有人轻轻撞了我一下，嘀咕了句抱歉，还有一只手搭在我手臂上，我当时以为对方只是想扶稳自己，典型的一碰一撞加顺手牵羊，等我反应过来早就结束了。（我们自己写的《里斯本三日游攻略》里明明白白提醒过，坐这趟电车一定要看好口袋。我当时读到那句话，点头认同，结果还是傻乎乎地站在那儿，活像个送上门的礼物。）

到下一站我才发现，伸手去摸钱包，口袋里空空如也。打开银行App冻结银行卡大概花了五分钟。等卡真正被冻结的时候，提醒短信已经刷了一屏：先是几笔小额消费，接着金额越来越大，后面甚至出现了本该需要密码才能过的扣款。等一切结算清楚，总共损失将近4000欧元，全部发生在我反应过来之前那段时间里。

捅出这个大篓子的是一张比较老的卡，当面刷卡还靠签名确认。不需要密码，也没有单笔限额。只要随手画一个陌生人几秒钟就能模仿的签名就行，所以在我把卡冻结之前，能刷多少钱根本没有上限。扒手手法确实老练，但真正的问题出在那张卡上。

里斯本扒手常出没的地方（以及它为什么依然是座安全的城市）

先说句公道话，我很喜欢里斯本，以后还会再去。它依然是欧洲比较安全的首都之一，这里发生的案件基本都是非暴力的，无非是人挤人时悄悄顺走点东西，或者从咖啡馆椅背上摸走一个包。游客越来越多，确实带动了这类小偷小摸的案件上升，但里斯本离巴塞罗那、巴黎或者罗马那个量级还差得远。

这些“扒手同行”最爱守着的几个地段，恰好都是你最想去的地方：

• 28E路电车，尤其是在马丁莫尼什广场、主教座堂（Sé）和卡蒙斯广场上下车的时候。
• 拜萨-希亚多地铁站的电扶梯，大家都站得很近，又都盯着手机看。
• 圣胡斯塔升降机的排队队伍、罗西欧广场，还有空空荡荡、一眼望到底的商业广场。
• 周末人多的贝伦区，以及开往机场的红线地铁，刚下飞机拖着行李、疲惫不堪的人最容易中招。

这些地方都不是要你躲着走，只是提醒你换个站法、多留个心眼。

整个欧洲用的都是同一套手法

我遇到的这种事，是整个欧洲大城市的通病，不是里斯本一家的问题。按不同统计口径，巴黎、巴塞罗那和罗马排名最靠前（具体谁第一要看是谁在统计），扒手爱去的地方基本都是老熟脸了：巴塞罗那的兰布拉大道，巴黎地铁加上埃菲尔铁塔和蒙马特高地，还有罗马的特米尼火车站。人群拥挤是这些团伙赖以生存的原料，这也是为什么提前避开人潮高峰值得花心思规划（夏季欧洲怎么避开人潮）。

手法高明的团伙都是分工合作的，后面我会一步步拆解：“眼线”负责锁定目标，“挡路的”负责制造那个空当，“下手的”趁机把东西摸走，“接应的”一秒之内就把赃物转移走，连下手的人身上都搜不出东西。

制造这种空当的骗术在各国大同小异：举着请愿书夹板凑近你说话的、送你友谊手环或者玩戒指掉落把戏的、在你外套上“不小心”洒点东西然后一堆人围过来帮忙的、假装警察要“检查”你钱包的，还有摊开地图盖在你桌上、同伙趁机在下面下手的。不过这些都不该让你疑神疑鬼。大多数主动给你指路的人真的只是好心。保持警觉是一种状态，不是提心吊胆地害怕。

4000欧元换来的教训：银行卡到底是怎么替你说“可以”的

不是所有刷卡方式的保护力度都一样，这个差别才是整件事的关键。

• 磁条加签名是所有方式里最不安全的组合。 它靠的是固定不变的卡片数据和一个谁都能模仿的签名，既绕开了密码验证，也绕开了非接触支付的单笔限额，所以卡被冻结之前，能刷多少钱几乎没有上限。我这次栽的就是这个坑。
• 芯片加密码是当面刷卡里最安全的方式。 每一笔交易都会生成一个独一无二的加密验证码，而密码比签名难伪造得多。
• 非接触式挥卡介于两者之间。 在欧盟，单笔一般可以免密挥卡到50欧元左右，累计约150欧元或者刷够五次左右通常就会被要求输入密码（这只是上限，不是保证，银行随时可以设更低的限额，或者随时要求输密码）。英国目前的免密上限是100英镑，而且从2026年3月起会放开监管。
• 手机钱包（Apple Pay或Google Pay）是最安全的挥卡方式。 每一笔付款都需要面容或指纹验证，用的是一次性、绑定设备的令牌，就算手机被偷，没有你本人也付不了款，而且没有固定的金额上限。

如果你用的是欧洲发行的银行卡，可以稍微放心一点：这边默认就是芯片加密码，签名确认主要出现在美国发行的卡上，或者芯片读取失败时退回磁条的情况。但“主要”不等于“绝对不会”。

怎么让自己不那么好下手

你没办法阻止一个训练有素的扒窃团伙盯上你，但可以让自己变得又慢又不值得下手，方法分两层：一层是银行卡本身，另一层是你携带东西的方式。

出发前先把银行卡设置好

下面这几个习惯，本可以让我那个损失4000欧元的下午，变成一次顶多50欧元的小麻烦：

• 在银行App里把非接触和单笔限额都调低，再打开即时提醒，这样卡一旦被盗刷，第一笔就会立刻收到通知。
• 出门带一张余额不多的旅行专用卡，主卡留在酒店保险箱里。
• 尽量用手机钱包挥卡，小偷根本用不了。防射频的卡套倒也不是没用，只是作用不大，真正的威胁是一只手，不是无线读卡器。

携带方式本身也是一道防线

• 人多的地方把包背在身前，手扶着拉链，坐公共交通时把背包转到胸前。
• 后裤袋永远不要放贵重东西，那个口袋跟橱窗展示差不多。
• 护照、备用银行卡和现金放进贴身腰包里藏好，而且贵重物品要分开放，这样被摸走一次也不会全军覆没。
• 要是28路电车挤得车门都关不上，干脆让它开走，等下一班。

一次扒窃，从头到尾是怎么完成的

把我那三秒钟拆开来看，整个流程精确得几乎有点无聊：

1. 你先被盯上。 眼线会留意谁的包没拉好、钱包露在外面，或者手机正面朝上摊在桌上。
2. 人群出现，或者被制造出来。 可能是一辆挤爆了的电车，一块请愿夹板，一次“意外”洒水，或者突然吵起来的争执。
3. 有人上前拖住你。 对方挡在你面前，慌慌张张地道歉，把你定在原地那么一两秒。
4. 下手的人开始动作。 就在那个空当里，一只训练有素的手把钱包拿走，这就是那关键的三秒钟。
5. 接应的人立刻带着赃物消失， 碰过你的那个人身上早就已经什么都没有了。
6. 消费开始了。 先是小额试探，接着金额越来越大，现在唯一重要的，就是你冻结银行卡的速度有多快。

事发后的头五分钟，以及第二天要做的事

东西一旦被偷，速度就是一切。

• 第一件事，先在银行App里冻结卡片。 这个操作是即时生效的，全天24小时都能用，连Apple Pay和Google Pay也会一起被暂停。如果App用不了，就打银行的紧急热线，这件事必须排在最前面。
• 然后去报警。 大多数旅行保险理赔都要求提供报案证明，通常得在24小时内完成。里斯本雷斯塔多雷斯广场（Restauradores）的旅游警察有会说英语的警员，葡萄牙的报警电话是112。
• 补办新卡大概需要7到10个工作日， 这也是为什么随身多带一张备用卡真的有必要。

别想当然地以为银行会自动退款。欧盟的PSD2规定，未经授权的交易一般把你的责任上限定在50欧元，而且要求银行尽快退款，但如果涉及欺诈或者你自己存在重大过失，就是例外情况，退款时间也会因情况而不同。所以该报案就赶紧报案，别拖。

钱包被偷，手机往往也跟着丢了或者没电了，人在异国他乡，没钱又没地图，处境会更难。这种时候工具能帮上点忙。用Travolp的话，行程和下载好的地图离线也能用（具体怎么操作），就算手机没电，也还能带你摸回酒店或者警察局，等信号恢复了再用聊天重新调整行程。它当然拦不住扒手，只是能保证被偷之后，你不会连路都找不到。

说到底

我不是因为里斯本危险才被偷，而是因为我站在人群里，钱包伸手就能够到，银行卡又几乎来者不拒。这两点都能改，而且改起来根本不耽误行程。把卡设置好，把携带方式调整好，那倒霉的三秒钟就只会变成你讲给别人听的故事，而不是账户上的一个窟窿。

规划下一趟旅行的时候，选一个就算钱包丢了、信号没了也照样能用的工具。用Travolp规划你的行程，或者登录。