如果海外收不到 3-D Secure 验证码，在反复重发之前先停下来。确认这笔购买是你发起的，弄清发卡行要求的是短信验证码还是在其应用中批准，检查已登记的渠道，只做一次受控重试。如果仍然无法送达，使用已登记的替代方式，或通过可信渠道联系发卡行。

关键要点：

在寻找验证码之前，先确认商户、金额、币种和交易。

没有出现验证挑战，与出现了挑战但收不到验证码，是两种不同的故障。

短信、语音和银行应用批准依赖不同的送达路径。

反复请求可能使较早的验证码失效，并可能触发频率限制。

认证成功不等于发卡行一定授权付款。

只有发卡行能确认或更改绑定在卡片上的认证方式。

国际旅行规划指南说明了如何在出发前准备付款联系方式和恢复方式。本清单从一笔正当的网购被要求进行额外持卡人认证之后开始。

1. 再次请求验证码前先确认交易

先阅读验证页面，不要输入任何内容。把商户名称、金额、币种、遮盖后的卡号尾数和交易时间，与你刚刚发起的购买对照。商户描述可能与店面名称略有不同，但无法解释的金额或卖家，应当是取消并联系发卡行的理由，而不是批准请求的理由。

另行打开商户账户或预订页面，检查是否已经存在订单、预订或待处理的付款。结账页面看起来失败，而付款流程的另一部分可能仍在处理中。旅行预订付款指南涵盖了更完整的订单和授权核查。

不要把一次性验证码交给商户代表、来电者或主动提出“帮你完成验证”的人。只在属于你所发起购买的验证页面中输入。验证码证明你掌控某个认证渠道；它不是客服参考号，不应复制到聊天或邮件中。

重试之前，记录安全的细节：当地时间、商户、金额、币种、设备、浏览器或应用、遮盖后的卡号尾数以及确切的错误文字。避免截图暴露完整卡号、验证码、账户余额、地址或无关交易。

2. 海外收不到 3-D Secure 验证码，判断停在哪个环节

EMVCo 把 3-D Secure 验证挑战描述为直接发送到发卡行访问控制系统的额外信息。挑战可能要求输入发送到移动设备的一次性验证码，也可能引导持卡人前往手机银行应用进行带外认证。［1］这些路径的失败方式各不相同。

对你实际看到的情况分类：

观察到的状态	可能需排查的环节	安全的下一步
没有出现验证挑战	商户、浏览器跳转、资格或免验证决定	重试前先查看订单和发卡行记录
出现挑战但未收到短信	登记号码、移动服务、送达延迟或发卡行发送	检查号码和漫游路径
要求应用批准但没有推送	应用数据访问、通知、登记或发卡行服务	直接打开官方应用
收到验证码但被拒绝	验证码过期或被取代、交易不符或输入错误	只使用一次最新的验证码
批准成功但结账失败	商户返回路径或之后的授权决定	同时查看商户和发卡行状态

不要把每一种状态都说成“验证码没收到”。如果没有生成挑战，更改短信设置无法修复跳转问题。如果应用显示了匹配的批准请求，等待一条从未被选中的短信只会浪费时间。如果认证已完成，下一个故障可能属于付款授权，而不是身份验证。

EMVCo 的带外认证模式把认证方式交由发卡行控制。发卡行可以引导持卡人前往另一个可信的银行渠道，然后把结果回传给商户。［2］商户通常无法按需切换你的发卡行所登记的认证方式。

3. 检查绑定手机号和银行应用路径

对于短信或语音送达，确认挑战中遮盖显示的号码尾数，与你仍掌控的号码一致。检查正确的 SIM 卡或 eSIM 已启用、设备已注册到移动网络、该线路允许国际漫游，以及消息或来电过滤没有拦截送达。能收到普通短信，并不证明每一条银行自动消息都能经同一路径到达。

不要只为测试送达而更改发卡行登记的号码。NIST 把设置或更改预先登记的电话号码视为绑定一个新的认证器，这应通过受控的账户流程进行。它还指出，在覆盖有限的地方，电话送达可能不可用，因此应提供其他类型的认证器。［3］

对于应用批准，把手机连接到可信的 Wi-Fi 或移动数据，自行打开发卡行的官方应用。查看应用内的收件箱或待批准事项，而不只依赖推送横幅。确认应用仍然登记在正确的账户和设备上；除非发卡行的恢复说明明确要求，身处境外时不要重装应用或清除其数据。

如果应用要求你的旧号码，保留任何仍然有效的会话，并使用旧号码恢复清单。那属于账户恢复问题，不是持续请求交易验证码的理由。

4. 只做一次受控重试

等待当前挑战显示明确的超时或重发选项，然后只请求一次新验证码。记录时间，并只对匹配的商户和金额使用最近一次送达的验证码。生成新验证码时，较早的验证码可能过期或被替换。

重试期间保持结账页面稳定。避免打开多个商户标签、在多张卡之间切换、更改金额或再次提交付款。这些操作可能产生多个相似的挑战，使你更难判断哪个验证码属于哪项请求。

如果收到一条延迟的消息，把它的时间和任何安全的交易背景与当前挑战对照。绝不要逐个尝试旧验证码。如果重试后仍未收到，或发卡行报告频率限制、临时封锁或服务不可用，就停下来。

NIST 要求短时有效的带外密钥只能被接受一次，并要求对反复失败的尝试进行频率限制。它还建议合理限制重复推送通知，因为过多的请求可能助长认证疲劳攻击。［3］有限度的重试既能保护账户，也能让你的证据保持清晰。

5. 只使用已登记的备用认证方式

查找发卡行提供的选项，例如在银行应用内批准、通行密钥、硬件认证器、恢复代码，或交易之前已登记的另一个电话渠道。可用的选项取决于发卡行、卡片、账户、地区和风险决定。

只在真实的 3-D Secure 页面或发卡行的官方应用中选择替代方式。不要按照卖家、搜索广告、主动发来的消息或来电者的指示，安装远程控制软件、添加新手机号、把对话转到聊天，或念出验证码。

替代方式可以证明你的身份，却不保证付款会获批准。认证确认的是作出回应的人掌控着一个被接受的因素；授权则是发卡行之后就交易能否继续作出的决定。可用额度、卡片状态、商户类别、交易管控和反欺诈检查仍可能影响这一决定。

如果没有提供已登记的替代方式，不要通过他人的手机或账户临时凑一个。停止购买并联系发卡行。如果出行安排紧急，只有在确认第一次尝试没有产生预订或扣款之后，才使用你已掌控的另一种付款方式。

6. 联系发卡行并核对最终状态

使用印在卡片上的电话号码、出行前保存的号码或官方应用内的安全消息。在独立核实之前，不要拨打验证错误页面、主动发来的消息或搜索广告中显示的号码。

向客服提供安全的诊断记录：交易时间、金额、币种、商户、遮盖后的卡号尾数、挑战类型、遮盖后的目的号码尾数，以及一次受控重试的结果。询问是否生成了挑战、使用的是哪种方式、送达是否失败、账户是否受到频率限制，以及有哪种官方恢复选项可用。

请发卡行分别说明认证和授权的最终状态。然后查看商户账户中是否有订单或预订，以及发卡行账户中是否有拒绝、待处理授权或已完成的扣款。在核对清这两项记录之前，不要重新付款。

VPN 无法送达 3-D Secure 验证码、更改发卡行登记的认证器、批准验证挑战或推翻授权决定。改变表面上的网络位置，可能增加风险信号，而不能解决由发卡行控制的故障。

总结

输入验证码之前，把挑战与你发起的购买对应起来。
把没有出现挑战与短信、语音或应用送达失败区分开。
检查已登记的渠道，但不要更改或删除账户恢复状态。
最多请求一次受控重发，只使用最新的匹配验证码。
只使用经发卡行登记的替代方式。
重试之前，核对清认证、授权、商户订单和发卡行记录。

常见问题

为什么 3-D Secure 在国内正常，在国外却收不到？

发卡行可能因交易、设备或地点风险选择不同的挑战，而已登记的手机在漫游或覆盖方面的条件也可能不同。3-D Secure 在国内正常而在国外失败时，确认实际的挑战类型，并询问发卡行生成了什么，而不要假定只是地点造成的。

可以不用短信，直接在银行应用批准吗？

只有当发卡行提供这种方式，且应用已为你的账户登记时，才可以在银行应用批准。直接打开官方应用，批准前核对商户和金额。

是否应该一直点击重发？

不应该。等待说明的超时时间，请求一次新验证码，只使用最新的匹配验证码。反复请求可能造成延迟、替换较早的验证码或触发限制。

3-D Secure 成功是否代表购买已经获批？

不代表。认证和付款授权是两回事。在认定购买完成之前，确认发卡行的交易状态以及商户的订单或预订。

商户能否更改 3-D Secure 使用的手机号？

认证方式通常属于发卡行的持卡人记录。只能通过发卡行经核实的账户恢复或资料更新流程更改 3-D Secure 使用的手机号。

页面显示的商户或金额不认识怎么办？

取消该挑战，并通过可信渠道联系发卡行。即使有人声称差异只是临时验证，也不要批准或分享验证码。

VPN 能让验证码送达吗？

不能。VPN 无法控制发卡行的短信、语音、应用通知、登记或授权系统。使用发卡行的官方恢复途径。

免责声明： 本文仅提供一般消费者安全信息，不构成个性化金融建议。认证方式和支持流程会因发卡行、卡片项目、地区和交易而异。

来源

EMVCo, “3-D Secure Challenge Flow: Business Overview” — https://www.emvco.com/dynamic/emv-3-d-secure-whitepaper-v2/challenge-flow/business-overview/
EMVCo, “3-D Secure Out-of-Band Authentication: Business Overview” — https://www.emvco.com/dynamic/emv-3-d-secure-whitepaper-v2/out-of-band-oob-authentication/business-overview/
NIST, “SP 800-63B: Authenticator and Verifier Requirements” — https://pages.nist.gov/800-63-4/sp800-63b/authenticators/

Sources checked 2026 年 9 月 12 日。

延伸阅读：

海外收不到 3-D Secure 验证码：核对交易、绑定方式与有限重试