刚被诈骗了

在工作，突然来个电话，一个糙汉的声音，先生，您刚是不是在我们这里消费了 xxx 元的 Q 币？
我直接回他，先学好普通话再来诈骗吧。然后就挂了。

接着看到三条银行短信，大体就是：
您卡号 xxxx 于 xx 日 xx 点 xx 分工商银行支出（保证金入） xxxx 元。

平时正常消费的短信是这样：
您卡号 xxxx 于 xx 日 xx 点 xx 分工商银行支出（消费 /跨行 /信使 /ATM 取款） xxxx 元。

所以我一看就知道大概就是以前说的那种先把卡里面的钱转到卡内其他金融项目中（钱并没有转出去，不要慌），这个操作银行是会发短信通知的，一般没注意可能就真的因为是留出去了。然后 95588 ，坐席会告诉怎么转出来，然后 81234567 报警。

原因问了下，是因为手机客户端登陆密码泄露了，但是交易密码没有，所以骗子顶多登陆进去看一下我有多少钱（然后顺便鄙视一下真他妈穷），并没权利进行转账之类的资金流出操作。

为什么泄露了，我估计是因为早两天去了一个五星酒店，蹭了网，还在蹭网期间登陆了网银。（是该酒店的指定免费 WIFI 哦，不是野路子，所以大酒店在信息安全这一块也不能让人完全放心）

难道工行的 APP 密码是以明文发送的吗？如果是的话那我当时如果发生了交易，让骗子获取了交易密码，那我岂不是只能哭了？

我当时也登陆了另外一个银行卡，渣打 Breeze ，渣打的卡不需要任何认证手段，直接登陆进去就可以交易。但是即使是这样，渣打的卡也没有任何损失。