常见的盗刷步骤如下：
（1）用户信息被泄露，如银行卡号、身份证号、手机号码等重要信息；
（2）不法分子将用户的银行卡绑定第三方支付平台，开通快捷支付功能；
（3）不法分子发起交易，通过骗取、拦截用户手机验证码等方式完成支付。
找谁赔？银行还是第三方支付机构？
1、根据规定，用户可以找银行先行赔付
银行卡被盗刷，用户第一反应是找银行赔付，但实际上银行通常会以银行卡是通过第三方支付机构的快捷支付被盗刷，银行不负责任为由拒绝赔付。但2016年7月1日生效的《非银行支付机构网络支付业务管理办法》（以下简称“《管理办法》”）第十条规定：“银行应当事先或在首笔交易时自主识别客户身份并与客户直接签订授权协议，明确约定扣款适用范围和交易验证方式，设立与客户风险承受能力相匹配的单笔和单日累计交易限额，承诺无条件全额承担此类交易的风险损失先行赔付责任。”此类交易指的就是快捷支付。而且人民银行有关负责人就《非银行支付机构网络支付业务管理办法》答记者问中也明确指出：“银行是客户资金安全的管理责任主体，在后续交易时无论是由银行进行交易验证还是支付机构代为进行交易验证，银行均承担快捷支付资金损失的先行赔付责任。”
因此《管理办法》正式生效后，银行需要无条件承担客户因快捷支付被盗刷的先行赔付责任。银行先行赔付是银行履行保护消费者的责任和义务的表现，但最终仍要视各方风险责任、由对应的责任主体承担对应损失。
2、根据协议约定，用户可以找第三方支付机构先行赔付
在实践中，我们发现往往是由第三方支付机构对用户进行先行赔付。这是因为在《管理办法》施行之前，银行与第三方支付机构通常协议约定由第三方支付机构对用户因快捷支付导致的相关纠纷和损失先行赔付。因此，围绕快捷支付产生的盗刷案也多由第三方支付机构先行赔付。
但自《管理办法》出台后，银行与第三方支付机构签订的由第三方支付机构先行赔付的约定涉嫌违规，因此一些银行删除了第三方支付机构对用户因快捷支付导致的相关纠纷和损失先行赔付条款。但事实上，大部分第三方支付机构仍会在与用户签订的快捷支付服务协议中约定由第三方支付机构先行赔偿用户因为使用快捷支付遭受的资金损失。如支付宝快捷支付协议中约定：“若用户未违反《支付宝服务协议》及本协议约定且因不能归责于用户的原因，造成银行卡内资金通过本服务出现损失，且用户未从中获益的，用户可向支付宝申请补偿。”
因此若第三方机构在与用户的快捷支付协议中约定第三方支付机构先行赔偿用户因为使用快捷支付遭受的资金损失的，用户也可以根据协议约定要求第三方支付机构承担先行赔付责任。
若用户能够证明银行卡的资金是通过快捷支付被盗刷的，既可以根据《管理办法》规定要求银行先行赔付，也可以根据协议约定要求第三方支付机构进行先行赔付。而在实践中，快捷支付盗刷案件中维权最大的难点在于证明资金“被盗刷”，笔者会在下一篇文章对盗刷责任的证明进行详细分析。
