广州女子支付宝109笔被扣6551元 手机号注销两年免密支付仍未失效

免密支付是为了省事。可它一旦变成”免检支付”，省下的那三秒钟，可能就是别人替你刷走的六千多块钱。

广州的齐女士是翻账单才发现不对劲的。招行发来一条活动短信，她顺手点进去看余额，发现少了好几千——最近她并没有怎么消费。再往支付宝里翻，从7月25日开始，一个名叫”哈啰车费支付”的扣款记录一直在往下滚。整理之后是109笔，金额从十几元到199元不等，累计6551.34元。最早的一笔在7月25日下午三点半，到当晚九点，一天之内刷了20笔十几元的车费；从7月29日起，扣款变得规律，数额也越来越大。让她后背发凉的是一处细节：大多数扣款都卡在199元——她此前给免密支付设置的限额是200元。账单里还反复出现”支付成功后很快退款、随后继续支付”的循环，像是在一遍遍试探那条额度的边界。

这不是她刷的。查下去，源头在她自己身上：两年前她注销过一个手机号，这个号码被运营商重新投放给了别人。新号主用这个号码登录了她的哈啰旧账号——账号里还绑着她的支付宝免密支付——于是一笔笔车费，就从她的账户里划了出去。哈啰客服的答复是：手机号注销，不会自动影响此前绑定的免密支付；那个号码如今已是空号。支付宝的答复同样直接：免密支付一经签约即持续有效，除非用户手动关闭，且平台与签约方之间并没有定期重新核对实名信息的机制。

最让人心里发沉的是这里：哈啰账号的实名信息与支付宝的实名信息并不一致，平台在交易时也没有做二次校验。同一笔订单里，坐车的人和付钱的人明显不是同一个——这本该是风控系统最该亮红灯的信号，最后踩下刹车的却是用户自己。

这不是孤例。小红书上有人反映被哈啰自动扣款696.44元，对应的是江西宜春铜鼓的一次行程，而他从未去过那里；那几笔扣款发生在深夜到凌晨，金额分别是198.82元、99.80元、199.00元、198.82元——和齐女士的账单几乎一个模子。今年7月，信网还报道过陕西消费者郭先生的同类遭遇。

哈啰的处理是：建议报警，平台不承担赔偿责任，考虑到消费体验愿意补偿200元，其余损失要等找到实际乘车人之后再处理。6551.34元的损失，用户拿回200元，剩下的要靠自己去追一个空号背后的陌生人。

这里有一个绕不过去的道理：风险，应当由最能控制它的那一方来兜。法经济学里把这叫作”最便宜的风险预防者”原则——谁的预防成本最低，谁就该承担预防责任。手机号是运营商回收的，账号体系是平台搭的，免密协议是平台与支付机构签的，三道关口都在企业手里；唯一的举证能力和追偿能力，也都在企业手里。按支付宝《付款授权服务协议》的约定，免密支付在执行资金划转时”无需您输入密码、短信验证码或进行其他形式的验证”——越是不需要用户参与的环节，越需要平台在后台校验身份。可现实是，把善后这件事交给了那个连扣款都发现得最晚的人。

这就牵出了当下很多数字服务的一个默认设定：用户签一次约，就等于把”以后的每一次”都交了出去；但手机号会注销、使用者会更换，那份授权却不会自己过期。我们管它叫”免密支付”，其实它更准确的名字应该是”免检支付”——免掉的是平台的检，不是用户的心。规则并非没有：免密支付本质上是一份长期有效的自动扣款授权，而授权的前提是身份真实、意思表示持续有效。当绑定号码的持有者已经换人，当交易双方的实名信息出现明显背离，这份授权的正当性基础其实已经动摇，平台至少应当履行一次核验义务——这正是”免检支付”四个字最该被追问的地方。

同样的道理也落在用户自己身上。号码注销之前，先解绑各类支付授权；免密额度能降就降、不用就关；每个月定期看一眼账单，把不认识的扣款第一时间处理掉。这几件事花不了几分钟，却是目前普通人手里最有效的一道闸。需要说明的是，这条新闻曝光后，哈啰尚未对外公开回应；齐女士已关闭免密支付，并向12345投诉，她的诉求是退赔费用、赔偿损失、停止侵权。

免密支付的设计初衷是让生活快一点，这没有错。但快的前提是安全——如果一份授权可以在用户注销号码两年之后，继续替陌生人买单，那它省下的从来不是用户的时间。手机号码有保质期，账号实名有保质期，唯独那份授权一直在原地等着下一个主人。这种”永不过期”的信任，正是”免检支付”真正的代价所在。

（商小台）