CVC／CVV 是甚麼？信用卡安全碼位置、用途與外洩處理

預計閱讀: 9 分鐘最後更新: 2026年8月30日

CVC、CVV、CVV2、CVC2 和 CID 的名稱不同，但對持卡人來說，通常都指卡片或發卡銀行應用程式顯示的 3 位或 4 位安全碼。它不是提款密碼，也不是銀行臨時發送的一次性驗證碼。

不同名稱對應甚麼位置？

支付品牌和卡片設計不同，名稱與位置也會變化。最穩妥的做法是按付款頁面提示，再核對實體卡或發卡銀行官方應用程式。

如果實體卡沒有印出完整資料，不要根據卡號自行推算。應登入發卡銀行官方應用程式或查看該卡的官方說明。

安全碼主要用於網上、電話等沒有讀取實體卡晶片或磁帶的交易。以 Visa 的說明為例，付款系統會把持卡人輸入的 CVV2 交給發卡機構核對，以增加付款者掌握該卡資料的可信度。

這不等於輸入正確安全碼就能證明付款者身份，也不代表交易一定獲批。發卡銀行仍可能根據交易風險，要求一次性驗證碼、應用程式確認或其他驗證。

PCI Security Standards Council 明確規定：商戶在一筆交易獲得授權後，不得保存 CVC、CVV 或 CID；即使經過加密、持卡人同意，或用於已儲存信用卡和定期付款，也不能成為保存安全碼的理由。

因此，網站下次付款沒有再次要求安全碼，不表示它保存了安全碼。後續交易可以按照商戶、支付服務商和發卡機構的其他流程處理。持卡人無法單憑結帳頁面判斷後台合規情況，但遇到聲稱“為了日後方便而永久保存 CVV”的服務，應停止提供資料。

資料	通常從哪裏取得	主要用途	是否可以告訴他人
CVC／CVV／CID	實體卡或發卡銀行官方應用程式	無卡交易驗證	只在自己確認的付款流程中輸入
OTP／一次性驗證碼	銀行短訊、應用程式或驗證工具	核准某次登入、綁定或交易	不向來電者、客服或聊天對象透露
PIN／提款或交易密碼	持卡人設定或銀行安全發出	ATM 或部分實體交易驗證	不在網頁聊天、短訊或電話中提供

即使付款頁面已經要求安全碼，銀行仍可能再要求 OTP。輸入前應核對短訊或應用程式顯示的商戶、金額和幣種，不要只看驗證碼本身。

在你主動發起購買、確認商戶身份和網址，並看清金額及幣種後，在正式付款頁面輸入安全碼屬於正常流程。

遇到以下情況應停止：

香港金融管理局建議持卡人在提供個人和卡資料前核實商戶及網站，並檢查 OTP 所列的交易資料。不要使用訊息中的電話號碼核實；應從發卡銀行官方網站、官方應用程式、月結單或卡片背面尋找聯絡方式。

如果已經出現未經授權交易、假客服或遙距控制，可繼續查看懷疑遇到投資詐騙後的處理步驟。處理速度很重要，但是否退款、換卡或承擔交易責任，仍要以發卡銀行調查和適用條款為準。

特定交易獲得授權後不可以。PCI DSS 的限制也適用於已儲存信用卡和定期付款，而且不能以加密或持卡人同意作為例外。

可能。已儲存信用卡、定期付款或其他交易流程未必每次重新要求安全碼。安全碼只是支付驗證的一部分，不應把“這次沒有輸入”直接理解為詐騙，也不應把“已經輸入”理解為交易絕對安全。

不一定由持卡人自行判斷。應立即透過官方渠道聯絡發卡銀行，由銀行根據外洩範圍、交易記錄和卡片狀態決定是否暫停或更換。