免密支付这玩意，好像真不能常开着了。

这几天我看到了这样一条新闻。

一位女士的支付宝账户，从 7 月 25 日开始，陆陆续续被人盗刷「哈啰出行」的车费。

每笔从十几块钱到 199 块钱不等。

累计加起来被盗刷了 6551.34 元。

机友们可能会想。

" 会不会是支付宝账号被盗了，或者是人家打了车忘记了呢？"

还真不是。

事实就是，这女士的支付宝账号，被实打实刷走了 109 笔「哈啰车费」。

而且这段时间，她从未换过手机号，没告诉过任何人账号密码。

这就很打破固有认知了对吧。

一边是支付宝，数亿人都在用的国民级支付应用。

另一边是哈啰出行，同样是名声在外的打车软件。

怎么好端端的支付宝余额，就这样被盗刷了呢？

真正的盲点，出在「免密支付」和「被二次放号的手机号」上。

机哥先简单捋一下来龙去脉。

这位被盗刷支付宝余额的女士，平日里一直有用哈啰出行打顺风车，为了方便省事也开了免密支付。

但最近招商银行忽然发了短信，提示她最近的消费情况。

她才发现 ...

不对啊，怎么我支付宝一直被哈啰打车扣钱？

随后这位女士整理了最近的支付账单，发现有个人从 7 月 25 日下午三点，就开始刷她余额，而且全是十几块钱的小额车费。

再到 7 月 29 日。

对方越刷越频繁，打车金额也从十几块钱，涨到 199 块钱，而且有过 " 先付后退 " 的操作

很显然，那人是在测试她的免密支付额度有多大。

最后对方在哈啰出行，盗刷了她 40 多天的支付宝余额后，这女士才发现问题，赶紧关掉了免密支付，并找哈啰客服理论。

等到哈啰客服和支付宝客服回应完后，整个漏洞终于浮出水面。

哈啰客服这边表示：

" 盗刷账户绑定的是女士两年前已注销的旧手机号，目前该号码为空。"

支付宝金融客服那边又说：

" 一旦签约免密支付功能，除非手动关闭这个功能，不然即使本人不再使用这个账户，依然可以实现免密支付。"

两边串起来看，整个盗刷链条阔然开朗。

首先呢，手机号注销，并不代表永久消失。

根据《电信服务规范》，运营商会把注销的账号回收，过一段时间后重新投放市场，给其他用户使用。

这事儿其实全球运营商都在做，毕竟号码资源是有限的，运营商不可能一直只发新号码。

换句话说，这位女士两年前注销的那个号。

大概率成为了别人在用的新号。

而拿到了旧号码的人，完全可以通过接受验证码的方式，登进她当年绑定了旧号的那些网络账号。

哈啰出行 App，自然也不在话下。

然后最关键的一步来了。

这位女士当年用旧号注册过哈啰出行，又开通支付宝免密支付。

最终导致的结果是。

盗刷者登录了她当年注册的哈啰出行账号，用里面的免密支付协议下单打车。

单子照样能下，钱照样能扣，全从她支付宝里走。

因为客服早就说过了。

免密支付协议一旦签了，如果不主动去关，它就永远有效。

机友们可能觉得，这种漏洞触发起来概率很低。

我跟你说，恰恰相反。

咱们编辑部的八弟前阵子就中招了。

他几年前注销了旧的手机号，换了个新的流量卡，结果最近发现有陌生人在用他支付宝的钱打车。

期间他没啥跟哈啰扯皮，跟机哥聊天还各种口吐芬芳，骂了哈啰出行一路。

最后因为被盗刷的金额不多，就一百来块钱。

哈啰客服还是给他申请了补偿。

但文章里提到的那位被盗刷好几千块钱的女士，就没那么幸运了。

哈啰平台那边表示，最高赔付额度只有 200 元。

其余数额，只有找到实际乘车人还款后，平台才能赔付回来。

顺着这事儿，机哥也上网搜了下，发现中招的网友不能说多，简直是数不胜数。

有网友一觉睡醒。

发现支付宝提示被哈啰打车扣了 30 多块钱。

然而自己并没有打车，去查订单也没有关于打车的踪迹。

还有网友被打车盗刷后，百思不得其解。

想破脑都分析不出，究竟是平台数据库问题，还是自己隐私被泄露了。

所以还是那句话啊。

手机二次放号 + 免密支付这组合技，其实跟大伙是息息相关的。

如果机友们看到这篇文章后，刚好手头有空。

可以尽早去检查下微信、支付宝等 App 的「支付」选项。

把那些无关紧要的、平日里使用频率超低的免密支付都关掉。

微信这边，在我 - 服务 - 钱包 - 支付设置里。

支付宝那头。

路径也差不多，进入设置，找到支付设计，把「免密支付 / 自动续费」都过一遍。

用不上的免费支付协议，直接解约就完事。

除了 App 里的免密支付。

大伙注销手机号前，也记得先把账号解绑干净。

特别是跟钱挂钩的账号，以及跟云盘、社交等隐私关联度很高的账号。

要是实在记不清绑过啥。

没关系，官方早就出了「一证通查」服务，在微信搜该小程序，填入你手机号，就能查到手机号绑定了哪些互联网账号。

这还没完。

为了确保万无一失，最好在运营商官方 App 里，把「二次号码焕新」流程走一走。

这东西能申请解绑旧号绑定的互联网账号。

目前覆盖了 200 多块主流 App，还挺够用的。

当然，如果你现在用的手机号，平时偶尔会收到验证码、催债电话啥的。

一样能走「二次号码焕新」。

把自己名下多出来的账号解绑掉。

总之整个事情的本质，是两个系统之间没做好互通，用户本身是不背锅的。

运营商二次投放号码没问题，但它没跨平台的权限，去解除该号码的互联网账号。

关键是哈啰出行。

平日里一直引导用户开启免密支付，但又没有做定期风控验证，反而显得问题大一些。

要知道号码被二次投放后，登录设备和实名信息一定会有变动。

机哥觉得，完全可以加上定期验证机主身份的机制。

要么你别偷偷塞开关，骗过用户眼睛开免密验证。

既然要做这事儿，就该把机制做得足够完善。

不然三天两头有用户被盗刷打车，谁特么还乐意用下去。