在里斯本被扒：皮夾在三秒內就沒了

皮夾原本放在外套的前口袋裡。下一秒，它就不在了。我沒有感覺到任何一隻手，沒看到任何一張臉，什麼聲音都沒聽見。前後大概三秒，甚至更短，我的信用卡、現金和證件就這樣沒了。但沒有人會告訴你這件事：被偷本身反而是最容易復原的部分，真正讓人痛的，是接下來的那五分鐘。

我用大約四千歐元換來的教訓是：真正把帳戶掏空的不是扒手，而是你的信用卡被允許用什麼方式「說好」。

28號電車上的三秒鐘

那是28號電車，每本旅遊指南都會叫你一定要搭的那台漂亮黃色電車。我們在馬丁莫尼茲（Martim Moniz）站附近的上車人潮裡擠得肩碰肩。有人輕輕撞了我一下，含糊說了聲不好意思，還有一隻手扶著我的手臂，我當下以為對方只是在人群裡站不穩。這就是典型的「碰撞加順手牽走」，等我反應過來，一切早就結束了。（我們自己寫的里斯本三日遊攻略明明白白提醒過，搭這台電車要顧好口袋。我讀過那段，點頭表示同意，結果自己還是傻傻站在那裡，活像個現成的獵物。）

我是在下一站才發現的，伸手去摸口袋，才發現皮夾根本不在。打開銀行App把卡片停用，前後花了大概五分鐘。等卡片終於被鎖住的時候，通知已經一則接一則跳出來：先是幾筆小額感應扣款，接著金額愈來愈大，最後甚至出現理論上沒有密碼就不該過關的消費。等一切結算完，總金額大約是四千歐元，全部發生在我反應過來之前那段時間。

真正造成傷害的，是一張比較舊的卡，那種現場消費還能用簽名核可的卡。沒有密碼，也沒有感應金額上限，只需要一個陌生人隨手就能仿冒的簽名，所以在我把卡停用之前，消費金額幾乎沒有上限。那個扒手手法確實高明，但問題更大的，其實是這張卡本身。

里斯本的扒手熱區（為什麼這座城市其實還算安全）

先說句公道話，我喜歡里斯本，以後還會再去。它仍然是歐洲數一數二安全的首都之一，這裡發生的案件也大多不帶暴力，頂多是人擠人時被悄悄順手牽走，或是咖啡廳椅背上的包包被輕輕拿走。觀光客變多之後，小型竊案確實跟著增加，但里斯本離巴塞隆納、巴黎或羅馬那種等級，還差得遠。

扒手也有自己偏愛的「辦公地點」，而那些地方，恰好都是你會想去的地方：

• 28號電車，尤其是在馬丁莫尼茲、大教堂（Sé）和路易斯・卡蒙斯廣場（Praça Luís de Camões）上下車的時候。
• **拜夏希亞多站（Baixa-Chiado）**的地鐵手扶梯，大家都站得很近，眼睛又都盯著手機。
• 聖胡斯塔升降機（Elevador de Santa Justa）的排隊人龍、羅西烏廣場（Rossio），還有空間開闊的商業廣場（Praça do Comércio）。
• 假日人潮洶湧的貝倫區（Belém），以及往返機場的紅線地鐵，剛下飛機、拖著行李疲憊不堪的旅客特別容易被盯上。

這不代表你該避開這些地方，只是提醒你，站在那裡的方式要跟著調整。

整個歐洲都在用同一套手法

會發生在我身上的事，其實是歐洲大城市的通病，不是里斯本獨有的問題。依照不同統計方式，巴黎、巴塞隆納和羅馬經常被列為情況最嚴重的城市（排名會因統計方式而互換位置），而熱點名單幾乎都是同一批常客：巴塞隆納的蘭布拉大道、巴黎地鐵加上艾菲爾鐵塔和蒙馬特，還有羅馬的特米尼車站。人潮就是這些扒竊集團仰賴的原料，這也是為什麼提早規劃如何避開人潮很重要(可以參考夏季歐洲如何避開人潮這篇)。

真正老練的扒竊集團會分工合作，我在後面會一步一步拆解給你看：負責觀察的「探子」先鎖定目標，負責製造機會的「掩護」拖住你，動手的「扒手」趁隙下手，最後由「接應」在一秒之內把贓物帶走，連動手的人身上都乾乾淨淨，查不到東西。

用來製造破綻的手法，在各國都大同小異：拿著連署板貼近你身體的「連署陷阱」、硬塞友誼手環或假裝撿到戒指的把戲、故意把東西灑到你外套上再假意幫忙的「潑灑戲碼」、假扮警察說要「檢查」你皮夾的騙局，還有把地圖攤在你桌上、同夥趁機在桌子底下動手的老招。不過這些都不必讓你變得疑神疑鬼，大部分主動幫你指路的人真的只是出於好意。保持警覺是一種習慣，不是恐懼。

花了我四千歐元才學到的教訓：你的卡是怎麼「同意」付款的

並不是每一種刷卡方式的保護力都一樣，而這個差異，就是整件事的關鍵。

• 磁條加簽名，是保護力最弱的組合。 它靠的是不會變動的卡片資料，加上一個任何人都能仿冒的簽名，完全繞過密碼驗證，也不受感應金額上限限制，所以在卡片被停用之前，消費金額幾乎沒有天花板。我就是栽在這一點上。
• 晶片加密碼，是現場消費裡保護力最強的方式。 每一筆交易都會產生獨一無二的加密驗證碼，而密碼遠比簽名難以仿冒。
• 感應付款則介於兩者之間。 在歐盟，單筆感應消費通常可以刷到約五十歐元而不用輸入密碼，累計金額超過大約一百五十歐元，或連續感應五次左右，系統通常就會要求輸入密碼(這只是上限，不是保證，銀行隨時可以設定更低的門檻，或要求你輸入密碼)。英國的上限則是一百英鎊，而且從2026年3月起會逐步鬆綁。
• 行動支付(Apple Pay 或 Google Pay)才是感應付款裡保護力最強的一種。 每一筆交易都需要你的臉部辨識或指紋，而且用的是綁定裝置、一次性的驗證碼，就算手機被偷，少了你本人也沒辦法付款，而且沒有固定的金額上限。

如果你用的是歐洲發行的卡，可以稍微放心一點：這裡預設就是晶片加密碼，簽名核可通常只會出現在美國發卡的卡片，或是晶片讀取失敗時的備用方案。不過「通常」不等於「絕對不會」。

如何讓自己變成難下手的目標

你沒辦法阻止一個老練的扒竊集團動手嘗試，但你可以讓自己變得又慢又不划算，而這要從兩個層面著手：你的卡片本身，還有你攜帶東西的方式。

出發前先把卡片設定好

只要養成下面這些習慣，就能把我那個損失四千歐元的下午，變成頂多損失五十歐元的小麻煩：

• 在銀行App裡把感應付款和單筆消費金額的上限設低一點，並且打開即時通知，這樣卡片一被盜刷，第一筆感應就會馬上通知你。
• 準備一張出國專用卡，裡面只留少少的額度，主要的卡就放在飯店保險箱裡。
• 能用行動支付就盡量用，這是小偷偷走實體卡也用不了的方式。防RFID的卡套不是不能用，但效果有限，畢竟真正的威脅是那隻手，不是無線側錄。

隨身物品的攜帶方式也要跟著調整

• 在人多的地方，把包包背到身體前方，手放在拉鍊上，搭車時把後背包轉到胸前背。
• 後口袋絕對不要放任何值錢的東西，那個位置根本就是櫥窗展示。
• 用貼身腰包收好護照、備用卡片和現金，並且把值錢的東西分開放，這樣就算被扒一次，也不會全部損失殆盡。
• 如果28號電車來的時候已經擠到車門邊，乾脆讓它開走，等下一班。

一次扒竊，從頭到尾是怎麼發生的

把整個過程放慢來看，我那三秒鐘背後的流程，精密到近乎無聊：

1. 先被鎖定。 探子看到一個沒拉上的包包、露在外面的皮夾，或是攤在桌上的手機。
2. 人潮出現，或者被製造出來。 可能是擠爆的電車、連署板、故意灑出來的東西，或是一場突如其來的爭吵。
3. 掩護把你拖住。 有人擋在你面前，手忙腳亂地道歉，讓你愣住那麼一下下。
4. 扒手動手。 就在那個空檔，一隻熟練的手把皮夾拿走。我的那三秒鐘，說的就是這個瞬間。
5. 接應帶著贓物消失， 所以碰到你的那個人，身上早就已經什麼都沒有了。
6. 消費開始了： 先是小額感應，接著金額愈來愈大。這時候唯一重要的，就是你多快把卡停用。

事發後的頭五分鐘，以及隔天要做的事

事情發生之後，速度就是一切：

• 第一件事，先用銀行App把卡停用。 這個動作是即時的，一天24小時都能用，也會同時停掉Apple Pay或Google Pay的授權。如果沒辦法用App，就打銀行的緊急專線。這件事要優先於其他所有事情。
• 接下來去報案。 大多數旅遊保險的理賠都需要報案證明，通常要在24小時內完成。在里斯本，雷斯陶拉多雷斯廣場(Restauradores Square)的旅遊警察(PSP Tourism Police)有會說英文的員警，葡萄牙的緊急電話是112。
• 補發新卡大概要等七到十個工作天， 這也是為什麼你真的該多帶一張備用卡。

不要以為銀行會自動退款。歐盟PSD2規範通常會把未授權交易的個人賠償上限訂在五十歐元，並要求銀行盡快退款，但如果涉及詐欺或重大過失，就會有例外，退款時間也因銀行而異。所以務必盡快通報，不要拖延。

皮夾被偷，通常也會伴隨著手機遺失或沒電，讓你在異地同時失去錢和地圖。這正是工具能派上用場的地方：用Travolp規劃行程，你的行程和下載好的地圖都能離線使用(做法在這裡)，就算手機沒電，也還是能帶你走回飯店或警察局，等訊號恢復之後再用聊天功能重新規劃行程。它沒辦法阻止扒手動手，但至少能讓你不會因為被偷，連路都找不回去。

最後想說的是

我不是因為里斯本很危險才被偷，而是因為我站在人群裡，皮夾放在扒手伸手就能碰到的地方，而且手上那張卡幾乎什麼消費都會「說好」。這兩件事都能事先修正，而且不會花掉你旅程裡的任何一分鐘。把卡片設定好，把攜帶方式調整好，那糟糕的三秒鐘就只會是你以後拿出來說嘴的故事，而不是帳戶裡的一個大洞。

規劃下一趟旅程的時候，選一個就算皮夾不見、訊號中斷也照樣能用的工具。用Travolp規劃你的行程，或是直接登入。