多伦多一家汽修店老板近日曝出一个令人不安的安全漏洞：他的TD商务旅行Visa卡在连续三次输错密码后，竟然仍然成功完成交易——总额高达数千加元。更离谱的是，即便重置密码后，他在另一家商店再次测试，三次输错密码后终端依然跳过验证，只要求签名就放行。他向TD银行反映问题，得到的回应却是：“一切正常，这是标准流程。”
三次输错密码，$3200照刷不误
怡陶碧谷汽修店老板Mark Sach-Anderson今年三月遭遇信用卡欺诈后，TD银行为他更换了新卡。由于非接触式支付限额为$250，他在几个月内都没用过密码。直到今年6月，他购买一件**$3,200的维修工具时三次输错密码**——交易仍然成功了。几周后，同样的事情在一家酒店和一家排气管修理店再次发生。
8月1日，他到Shoppers Drug Mart做测试：随机输入四个错误数字，机器提示密码无效，但三次尝试失败后，终端直接打印收据，要求签名后就让他走了。他立即返回TD分行报告，柜员当面表示：“哇，这不应该发生。”
TD回应：签名是备用验证，一切正常
TD银行在邮件中回应称，允许持卡人在三次PIN码输入错误后使用签名授权交易“是标准流程”。“芯片和签名是加拿大公认的行业惯例，”TD发言人Ashleigh Murphy写道，“能够使用签名并不意味着信用卡已被盗用。”
但安全专家Claudiu Popa直指问题核心：“单笔交易可能是系统故障，但如果在多个终端反复输入错误密码后仍能获批，甚至在重置密码后仍然如此——这应该进行严肃调查。我们尚不清楚这是系统漏洞还是配置问题，TD需要确定这种意外行为的普遍程度。”
Visa甩锅：安全规则由发卡行设定
Visa加拿大公司证实，个人卡的安全设置由发卡银行自行设定，Visa不负责设置或维护持卡人账户。每家银行都有自己的发行标准，包括签名和PIN码的使用指南。
这意味着，技术规则的责任完全落在TD银行——包括为何这张替代卡在多次密码错误后仍绕过自身安全措施。
监管红线：银行有义务调查未经授权交易
加拿大金融消费者管理局（FCAC）明确表示，无论涉及何种技术，银行都有法律义务调查每一笔已报告的未经授权交易。联邦指导方针规定，信用卡持卡人承担的未经授权费用不得超过$50，除非银行能证明存在重大过失。
Sach-Anderson的问题核心在于：如果密码可以被随意绕过，那设置密码的意义何在？ 正如专家所说，消费者合理期望的是——密码是唯一钥匙，而非可有可无的选项。TD银行坚称“一切正常”，但真正让人不安的，恰恰是“一切正常”本身。
来源：
https://www.thestar.com/business/this-etobicoke-business-owner-typed-the-wrong-pin-three-times-video-shows-td-visa-still-okd-the-purchase/article_608cfb16-24fa-4b42-88a9-8bd8ae4a82e8.html