🔐 消费金融 · 支付安全

🔥 免密支付+木马远程操控+团购券即时核销，三条链路叠加让盗刷团伙在用户熟睡时完成"蚂蚁搬家"式套现，传统风控全程沉默。

一、凌晨睡梦中，账户被远在千里之外刷爆

2026年7月下旬起，陕西、甘肃、广东、广西、河南等多地用户陆续在社交平台曝出同一件蹊跷事：人在自家床上睡觉，美团月付却被人在几百公里外的陌生城市疯狂下单。甘肃张掖的全先生，7月21日深夜被连刷5笔共2475元，买的全是北京、南京、义乌等地的餐饮团购券。他浑然不知，直到三天后凌晨再度被盗刷1500元，银行风控短信才把他惊醒。

广西梧州的吴先生更离谱，7月23日凌晨2点35到43分，8分钟内连下4单共1669元，券码在浙江金华秒核销。人在广西，券在浙江没了——申诉退款4笔全被拒。陕西渭南的徐先生凌晨3点半被刷4笔约1800元，河南郭先生损失近4000元，广东佛山凌先生被刷超3800元。这不是个案，而是一次有组织的批量攻击。

二、盗刷"三板斧"：木马上钩、免密开道、团购券秒变现

犯罪分子到底怎么做到的？链条拆开一看，简直像教科书般流畅。第一步，通过短信或社交软件发送含木马的钓鱼链接，打着"刷单返利""高额佣金"旗号引诱点击。一点击，手机就被远程控制，黑屏、卡顿是典型症状——木马正在后台窃取控制权。

第二步，利用用户开通的500元以下小额免密支付，把大额拆成多笔小单分批刷，每笔都卡在免密额度内，绕过所有验证环节。第三步，买入热门餐饮团购券后，券码在异地门店迅速核销，再转至二手平台变现。从下单到核销往往只需几分钟，你连反应时间都没有。

三、平台回应来了，但风控之痛谁来买单

事件发酵后，美团客服最初的回应让受害者心凉半截："券码已核销，无法退款，如需后台详情需走司法取证程序。"7月29日到30日，央媒集中报道并登上微博热搜后，美团给出了更完整回应：相关用户大概率遭遇新型电信诈骗，已开通盗刷专项处理通道，未核销订单第一时间拦截，已核销订单启动专项评估、专人一对一协商。

但问题本质没变：犯罪分子操控的是用户自己的手机，设备信息、IP、地理位置全是日常数据，传统风控基于"异地登录""大额异动"的规则在这类攻击面前全面失灵。律师指出，用户开通免密支付是对平台的授权，不代表平台可以免责——恰恰因为免密绕过了密码验证，平台有义务对该功能进行充分保障。

综合ZAKER新闻、东方财富网、头条号、网易等报道 | 2026年8月2日