人在工位上坐着，支付宝却在不停往外刷钱——这不是电影情节，而是广州齐女士过去一个多月的真实遭遇。

从7月25日开始，齐女士的支付宝账户陆续出现了109笔“哈啰车费支付”记录。这些订单并非她本人消费，金额从十几元到199元不等，累计达6551.34元。一个多月时间里，她的钱就这样一笔一笔被转走，而她毫不知情。

直到9月3日，齐女士才发现异常。她立即联系哈啰客服并拨打12345投诉。但接下来发生的事情，让这场维权变成了一场拉锯战。

一、一个“历史遗留问题”如何变成盗刷通道

哈啰方面核查后给出了一个出人意料的答案：产生这些订单的账户，绑定的竟是齐女士两年前就已注销的旧手机号。

齐女士两年前注销的旧手机号被运营商重新投放，新号主用该号码登录了仍绑定该手机号的哈啰旧账号，并通过已签约的支付宝免密支付功能直接扣款。更关键的是，哈啰账号的实名信息与支付宝的实名信息并不一致，但平台在交易时并未进行二次校验。

“因为之前设置支付宝免密支付的限额是200元，就被刷了很多199元。”齐女士发现，对方刻意将消费金额控制在免密额度以内。部分订单还出现支付后很快退款、随后继续支付的情况——这种反复试探的行为，明显带有恶意特征。

二、200元补偿：平台的态度与消费者的绝望

发现被盗刷后，齐女士立即关闭了哈啰车费的支付宝免密支付，并向12345投诉。9月5日，她已报警。但面对6551元的实际损失，哈啰方面的回应让她难以接受。

哈啰客服表示，手机号注销不影响此前绑定的支付宝免密支付。平台建议齐女士报警处理，并表示不承担赔偿责任。“考虑到消费者体验”，愿意补偿200元。客服称：“（损失的）这个金额过高，我们确实赔不了。我这边能操作到的权限就是补偿200元。”

齐女士对此不予认可。从发现盗刷至今，她已和哈啰客服沟通了9次，但每次都是同样的答复：“客服的权限只能给出200元补偿。”

“客服说要找到消费用户追回损失才能把钱退回给我。”齐女士说。但问题是，找到那个用她旧手机号登录的人，真的是她的责任吗？

三、不是孤例：一个正在蔓延的安全黑洞

齐女士的遭遇并非个案。

在黑猫投诉和小红书平台上，有多人反映支付宝账号在哈啰出行上被无故扣款，数额从几十到几百不等。仅在小红书一个平台上，就有多名用户反映遭到哈啰莫名扣款。

今年7月，陕西消费者郭先生核对银行卡流水时发现，多笔扣款指向哈啰的“先乘后付”，累计超过800元。哈啰客服调查后解释称，郭先生妻子此前使用的手机号停用后被运营商重新投放，新机主登录并修改了相关账户信息，但此前绑定的免密支付关系没有同步解除。据哈啰称，实际下单者是一名未成年人。

同月，上海赵女士遭遇了更离奇的事：自己人在睡觉，账户却在凌晨3点产生了一笔武汉长江大桥的共享单车骑行订单。哈啰客服表示，账户进行过“换绑”操作，旧手机号仍绑定在主账户下。

这些案例指向同一个核心问题：当一个手机号被注销、被运营商“二次放号”后，旧机主在哈啰平台上绑定的免密支付关系并不会自动解除。新号主只要用这个号码登录旧账号，就能继续使用旧机主的支付宝免密支付。

四、漏洞何以存在：平台与支付方的责任链条

这个安全漏洞之所以存在，涉及哈啰和支付宝两方的责任。

支付宝方面表示，一旦签约免密支付，除非手动关闭，授权将持续有效，且平台与签约方之间并无定期比对实名信息的机制。蚂蚁金融人工客服也确认，即使本人不再使用某个账户，依然可以实现免密支付。

哈啰方面的风控同样存在明显缺口。据媒体此前以用户身份从哈啰官方客服处获悉，未完成实名认证的账号仅通过短信验证码即可完成手机号改绑。这意味着，一个旧手机号的新主人，只需一条短信验证码，就能接管旧账号并继续使用前任机主的免密支付。

北京市京都律师事务所林斐然律师在接受采访时表示，此事倾向于定性为盗刷，民事层面属于第三人侵权，刑事层面累计金额超过6000元，涉嫌盗窃罪。

关于平台责任，林斐然认为，哈啰作为账号运营方和交易指令发起方，负有账号身份核验的核心义务。“手机号是账号登录、身份验证的核心凭证，平台应当核验绑定手机号的有效性、实名一致性，尤其涉及免密支付的高权限账号。”他引用《网络安全法》《电子商务法》及《消费者权益保护法》相关内容指出，哈啰未对账号登录凭证的有效性进行核验，与其产生这一后果有直接因果关系。

另有分析指出，哈啰应升级风控规则：手机号变更或实名与支付主体不符时，自动冻结旧免密授权；旧号重登须重签支付协议；异常订单及时拦截提醒。

五、一个更大的追问：免密支付的边界在哪里

“手机号注销不影响免密支付”——这句话本身就是一个巨大的安全警示。

当一个人的手机号已经注销两年，当这个号码已经归属他人，当账户的实名信息与支付账户的实名信息早已不一致——平台仍然允许这笔钱被刷走。这说明在哈啰的风控体系中，手机号与支付宝账户之间的绑定关系一旦建立，就几乎处于“永久有效”状态，没有任何机制去校验这个关系是否仍然有效、是否仍然属于同一个人。

对于一个覆盖数亿用户的出行平台而言，这种风控水平显然无法匹配其业务体量。更令人担忧的是，类似事件并非首次发生，但平台的回应方式始终是“补偿200元”“建议报警”“等实际乘车人还款”——把追责和维权的成本全部转嫁给了消费者。

齐女士的诉求很简单：退还非实际消费产生的扣款，修复平台漏洞，保障用户的信息和资金安全。这三点，哪一条都不算过分。

截至发稿，哈啰方面尚未对外公开回应此事。齐女士仍在等待一个满意的答复。

（本报将持续关注事件进展及免密支付安全议题）