你有没有想过：自己明明在甘肃张掖睡大觉，美团月付却 " 替 " 你在北京、南京、义乌连买了好几张餐饮团购券？

这不是段子，是真事。

7 月下旬开始，陕西、甘肃、广东、广西多地用户发现：凌晨熟睡时，自己的美团账号在陌生城市被疯狂下单，少的损失一千多，多的四千多。7 月 29 号到 30 号，好几家央媒都报道了，还登上微博热搜，美团官方也赶紧出来回应。

这事儿到底咋回事？今天咱们拆开说清楚。

甘肃张掖的全先生，7 月 21 号深夜被人盗刷了大概 2475 块，买了 5 张餐饮团购券，这些券码在北京、南京、南通、义乌全被核销了。

三天后凌晨又被刷了 1500 块，这次银行风控提醒了他，他打开美团一看，发现还有 6 张没核销的券，赶紧退掉，挽回了 24 号那笔损失。可 21 号那 5 张早核销了，钱要不回来。

广西的吴先生更惨：7 月 23 号凌晨，8 分钟里连刷 4 笔，全买的是浙江金华一家餐饮店的团购券，加起来 1669 块，全都记在月付上。他人在广西，券却在金华被用掉了，申诉退款 4 笔全被拒。

这些受害者有几个共同点：

· 都开了美团月付，还开了 500 块以下的小额免密支付

· 盗刷都发生在凌晨

· 不少人手机之前突然黑屏、卡死过

· 还有不少人点过来历不明的链接

美团后来查清楚了，作案手法都差不多：

第一步，下诱饵。犯罪分子用 " 刷单返利 "" 高额佣金 " 当幌子，通过短信或社交软件发带木马的链接。

第二步，控手机。你只要一点，手机就被远程控制了。黑屏、卡顿就是典型症状——木马正在后台拿你手机的控制权。

第三步，下假单。犯罪分子用你的身份在美团批量买热门餐厅的团购券。500 块以下免密支付，啥验证都不用，月付额度直接透支，你完全不知道。

第四步，变现。券码很快在异地门店核销，再转到二手平台卖成现金。从下单到核销往往就几分钟，根本不给你反应时间。

这套链条为啥这么 " 顺 "？关键在两个 " 放大器 "：免密支付省掉了验证环节，月付透支让犯罪分子花的是 " 你未来的钱 " ——你当时没感觉扣款，等还款短信来了才发现不对劲。

异地登录、凌晨批量下单、账号突然在陌生城市连买团购券——这些异常信号，风控怎么没拦截？

美团的回应是：犯罪分子操控的是用户自己的手机，设备信息、IP、常用地点全是日常数据，在风控系统眼里跟本人操作几乎没区别。传统风控靠的 " 异地登录 "" 大额异动 " 这类规则，到这场景全失灵了。

更让受害者憋屈的是退款规则。一开始，美团客服统一回复 " 券码已核销，没法退 "，要用户报警走司法程序。券码一旦线下核销，平台就不再直接退款了。

7 月 30 号，美团给了更完整的回应：经核查，相关用户很大概率遭遇了新型电信诈骗，正在配合多地警方调查。已经开通盗刷专项处理通道，用户一来电就第一时间拦截没核销的订单；已核销的，启动专项评估，专人一对一联系协商处理。

客服负责人说：" 不会让任何一个用户的问题没着落。"

同时美团也做了风控升级：批量买热门餐饮团购前加风险提示和二次验证；收紧团购券转赠；下线高风险品类的代付。多地公安已经立案。

1. 把免密支付的额度调低，或者直接关掉。路径：美团 App →我的→钱包→支付设置。这是最直接有效的防线。

2. 不常用就关掉美团月付；要留着也设个消费限额提醒。

3. 陌生链接一律不点。" 刷单返利 "" 高额佣金 " 这种信息，千万别手痒——这是木马进你手机的唯一入口。

4. 手机一旦异常，立刻断网。黑屏、卡死、自动弹窗时，第一时间开飞行模式，查查可疑 App，必要时恢复出厂设置。

5. 发现被盗刷，马上报警并联系平台。报警回执是平台启动专项处理的重要凭证；联系客服拦截没核销的订单——抢在核销前，是挽回损失的关键窗口。

小额免密加信用消费这套组合，本质上是用 " 方便 " 换掉了 " 安全确认 "。每笔免密交易，都等于跳过验证、直接放行一次信任。等木马能模拟你真实的设备环境时，这套信任机制就从 " 便捷 " 变成了 " 漏洞 "。

美团说这类盗刷是 " 整个互联网行业都面临的共性挑战 "。但行业共性不是免责的理由——风控跟不上新犯罪手法、规则对消费者不够友好，这些都是该正视的问题。

更深的问题是责任边界：手机被木马控制了，所有操作 " 看起来 " 都是你本人发起的，损失该谁担？

这个答案，不只关系这次受害者的权益，也关系每个开了免密和信用消费的普通用户的安全感。

目前多地警方已立案，美团也启动了专项处理。建议看到这篇文章的你，现在就掏出手机，查查自己的支付安全设置。