广州的齐女士遇到了一件让她头皮发麻的事。

那天她打开手机查余额，发现钱少了一大截。点开账单，密密麻麻全是哈啰打车的扣款记录。再往前翻，最早的一笔出现在 7 月 25 日。

她一笔一笔往下数，越数手越抖。

整整 109 笔，累计 6551 块 3 毛 4。

她根本没打过这些车。扣款时间集中在凌晨，金额从十几块到一百九十九块不等。最诡异的是，有些订单显示 " 先付后退 "，退了又扣，扣了又退。

这不是普通人正常打车。这是一个精心试探的过程——盗刷的人在摸免密支付的额度上限，一笔一笔试，看最高能刷多少钱。

齐女士赶紧查。客服告诉她一个让她后背发凉的事实：这些订单，来自她两年前就已经注销的旧手机号绑定的平台账户。

那个号码她已经不用了，注销了，扔了。但那个号码关联的账号里，免密支付还开着。号码被运营商重新卖给了别人，新号主拿到号码，用短信验证码登录了那个旧账号，把实名信息改成了自己的。

但付款人，还是齐女士。

你品品这个链条。号码换了主人，账号换了实名，但支付通道的门，没关。平台连 " 进来的人是不是原来那个付款人 " 都不查，就把钱划走了。

齐女士跟平台沟通了 9 次。客服说，手机号注销不影响免密支付功能，平台不负责赔偿，建议她报警。考虑到 " 消费者体验 "，愿意补偿 200 块。

6551 块，赔 200。齐女士不接受。她说得很清楚：" 这是平台漏洞，是平台安全问题，我没有义务去找实际使用人追款。"

好在警方给力。9 月 22 日立案，9 月 27 日通知案件已破，主要犯罪嫌疑人到案。嫌疑人怎么变现的？他私下联系网约车司机，让司机接单但不实际行驶，订单完成后司机留一点，余款转给他。

但直到今天，齐女士的 6551 块，还没有全部追回来。

我想说的不是这一个案子。我想说的是，这个漏洞对你我每一个人都开着。

你换过手机号吗？你注销过旧号码吗？你注销之前，把那个号码绑定的所有支付平台、所有自动扣款、所有免密支付，一个一个手动关掉了吗？

如果你答不上来，那你的账户，可能正处在和齐女士一样的风险里。免密支付一旦签约，除非你手动关闭，授权就持续有效。平台和支付机构之间没有定期比对实名信息的机制。号码销了，号换了人，钱照扣。

这不是齐女士一个人的遭遇。你去黑猫投诉上搜，小红书上搜，多的是人反映自己的支付宝在哈啰上被无故扣款，几十块到几百块不等。只是金额没这么大，没上新闻。

平台说 " 手机号注销不影响免密支付 "，这句话从技术角度可能是真的。但从责任角度，它是站不住脚的。律师说得很清楚：平台作为账号运营方，负有身份核验的核心义务，确认不了手机号的有效性和实名一致性，就不能继续扣款。平台确认盗刷后，应该先行赔付，再向实际使用人追偿，不能把损失转嫁给用户。

道理很清楚，但落到实际操作里，普通人面对的是一道天堑：你要自己去报警、自己去整理流水、自己去跟平台来回扯皮。平台那边呢？客服的权限 " 只能给出 200 元补偿 "，上级 " 也没有正面回复 "。

你被偷了 6500 块，对方的回应是 " 我补偿你 200"。

这事最让人后背发凉的地方在于，齐女士从头到尾没做错什么。她正常用哈啰打顺风车，正常开通了免密支付，正常注销了不用的旧号码。她只是不知道，注销号码的时候，支付通道的门没跟着一起关。

那扇门，得她自己关。但没有人告诉过她。

你注销手机号之前，有人提醒过你要解绑所有支付授权吗？运营商说过吗？平台发过短信吗？都没有。 你只是去营业厅签了个字，号码就销了。然后那个号码带着你所有的支付授权，被卖给了下一个人。

齐女士的案子破了，嫌疑人抓了。但那 200 块的 " 补偿方案 "，和那句 " 手机号注销不影响免密支付 "，还挂在那里。