🔒 消费维权 · 互联网安全

🔥 旧手机号二次放号+免密支付漏洞，109笔盗刷暴露平台校验缺失

一、109笔盗刷 精准卡在免密额度之下

广州齐女士发现支付宝自7月25日起被哈啰打车持续扣款，累计109笔订单损失6551.34元。#女子旧手机号二次放号后支付宝被哈啰盗刷6551元#，调查发现根源竟是她两年前注销的旧手机号被运营商重新投放，新号主用该号码登录了仍绑定的哈啰旧账号。

盗刷者操作极具"专业性"：单笔金额精准控制在199元，恰好低于200元免密支付限额；采用"先付后退"模式反复试探额度边界；全天候刷单，凌晨也不停歇。从7月25日的单日20笔到7月29日后的规律化操作，整个过程持续一个多月未被系统拦截。

二、三方踢皮球 谁该为漏洞买单

事件曝光后，三方回应均令人失望。哈啰客服称"手机号注销不影响免密支付"，仅愿补偿200元，建议用户报警；支付宝表示一旦签约免密支付，授权将持续有效，平台与签约方之间无定期比对实名信息机制；运营商方面，旧号二次放号属于正常业务，但未与互联网平台建立号主变更通知机制。

核心问题在于：哈啰账号的实名信息与支付宝实名信息并不一致，但平台交易时未进行二次校验。这意味着任何人只要拿到一个曾绑过免密支付的手机号，就能直接消费原号主的支付宝余额，而平台不设防。根据《付款授权服务协议》，支付宝明确提醒用户需自行承担因信息泄露导致的经济损失。

三、二次放号的系统性风险 谁来堵漏洞

这并非个案。手机号二次放号在我国已是常态，运营商号码回收后经过"冷冻期"会重新投放市场。但大量互联网平台绑定关系并不随号主变更而自动解除，免密支付更是在用户无感知的情况下持续生效，形成系统性安全漏洞。

专家建议三管齐下：平台方应建立实名信息定期比对机制，发现账号与支付渠道实名不一致时触发二次验证；运营商在号码二次放号前应通知主要互联网平台清理绑定关系；用户注销手机号前务必逐一解绑所有支付类应用。齐女士的遭遇敲响警钟：你的旧手机号，可能正在替别人买单。

综合钱江视频、封面新闻、大风新闻、鲁中晨报报道 | 2026-09-10