结论：办信用卡时，银行或金融机构直接打电话到单位进行核实，在符合一定条件的情况下是合法的，但必须遵循相关法律法规和行业规范，确保不侵犯个人隐私和合法权益。
分析说明：
合法性基础：
- 银行或金融机构在办理信用卡业务时，有权对申请人的信用状况、还款能力等进行核实。这种核实可能包括向申请人所在单位进行电话询问，以了解申请人的工作稳定性、收入情况等信息。
- 然而，这种核实行为必须建立在合法、合规的基础上，不能侵犯申请人的个人隐私和合法权益。
合规性要求：
- 事先告知：银行或金融机构在向申请人单位进行电话核实前，应事先告知申请人，并获得其同意。这是尊重申请人隐私权的重要体现。
- 信息保护：银行或金融机构在核实过程中，应严格保护申请人的个人信息，不得泄露给无关第三方。
- 核实内容：核实内容应仅限于与信用卡申请相关的必要信息，如工作稳定性、收入情况等，不得涉及申请人的其他私人信息。
可能存在的风险：
- 如果银行或金融机构未经申请人同意，擅自向其单位进行电话核实，可能构成对申请人隐私权的侵犯，申请人有权依法维护自己的权益。
- 如果核实过程中泄露了申请人的个人信息，银行或金融机构可能面临法律责任，包括赔偿损失、承担行政责任等。
法律建议：
申请人角度：
- 在申请信用卡时，应仔细阅读相关条款和协议，了解银行或金融机构的核实方式和范围。
- 如果对核实方式有异议或担忧，可以与银行或金融机构进行沟通，要求其采取更为合理、合规的核实方式。
- 如发现银行或金融机构存在侵犯个人隐私的行为，可以依法向相关部门投诉或寻求法律援助。
银行或金融机构角度：
- 应建立健全的信用卡申请核实制度，明确核实方式和范围，确保合规性。
- 在核实过程中，应尊重申请人的隐私权，保护其个人信息不被泄露。
- 如因核实行为引发纠纷或投诉，应积极配合相关部门进行调查和处理，承担相应的法律责任。
后续行动建议：
- 如果您在办理信用卡过程中遇到银行或金融机构未经同意向单位打电话核实的情况，或者发现个人信息被泄露，建议及时与银行或金融机构沟通，要求其停止侵权行为并赔偿损失。
- 如沟通无果，您可以向当地银保监会等监管部门投诉，或者寻求法律援助，通过法律途径维护自己的合法权益。
如有任何疑问或需要进一步的法律帮助，请随时向我咨询。