当旧手机号成为“提款机”：齐女士6551元盗刷案的法律追问

一、109笔扣款背后的机制漏洞

广州齐女士的遭遇，值得每个人停下来认真看一遍。

自2026年7月25日起，她的支付宝账户被持续扣款，累计109笔哈啰打车订单，损失6551.34元，直到9月3日查看招商银行余额时才发现异常。单笔金额从十几元到199元不等，凌晨时段扣款频繁，部分订单还出现“先付后退”的循环——这些细节指向一个精心试探的过程：盗刷者在寻找免密支付的额度边界。

根源已经查明：齐女士两年前注销的一个旧手机号被运营商二次放号，新号主用该号码通过验证码登录了仍绑定此号的哈啰旧账号，而该账号此前签约的支付宝免密支付授权依然有效。更令人不安的是，哈啰账号的实名信息与支付宝实名信息并不一致，但平台交易时未做二次校验。支付宝方面则确认，免密支付一旦签约，除非手动关闭，授权将持续有效，平台与签约方之间并无定期比对实名信息的机制。

通俗地说：手机号换了主人，但支付通道的“门”还开着，而平台连“进来的人是不是原来的主人”都不查。

二、200元补偿的法律逻辑站不住脚

哈啰确认盗刷后表示不承担赔偿责任，仅愿补偿200元，建议用户报警。律师明确指出这一说法缺乏法律依据。浙江五联律师事务所张建齐律师认为，平台确认盗刷后就有义务先行赔付，再向实际使用人追偿，不能将损失转嫁给用户。

从法律框架看，平台责任的依据是清晰的。《民法典》 规定网络服务提供者利用网络侵害他人民事权益应承担侵权责任，网络服务提供者知道网络用户利用其服务侵害他人民事权益未采取必要措施的，承担连带责任。《电子商务法》 要求平台对经营者身份信息进行核验、登记并定期更新。《消费者权益保护法》 和 《网络安全法》 同样要求网络运营者对用户账户和资金安全提供基础保障。

具体到赔付机制，《非银行支付机构网络支付业务管理办法》 明确要求支付机构建立风险准备金制度和交易赔付机制，对不能有效证明因客户原因导致的资金损失及时先行赔付。而平台以“手机号已注销”为由拒绝赔偿，恰恰暴露了其未履行实名核验义务的事实——哈啰作为账号运营方和交易指令发起方，负有账号身份核验的核心义务，手机号是账号登录和身份验证的核心凭证，平台应当核验绑定手机号的有效性和实名一致性。

律师进一步指出，盗刷的根源是哈啰账号被冒用，而非支付宝免密支付本身存在问题，哈啰不能将责任转嫁给支付机构。齐女士的诉求——“这是平台漏洞，是平台安全问题，我没有义务去找实际使用人追款”——在法律逻辑上是成立的。

三、盗刷者与平台的“双重追责”

这起事件涉及两个层面的法律责任，需要分开来看。

盗刷者的刑事责任。 类似的“二次放号”盗刷案件已有判决先例。浙江海宁法院审理的一起案件中，被告人利用旧手机号未解绑淘宝的漏洞，通过小额免密支付盗刷55笔共计1200余元，被以盗窃罪判处有期徒刑8个月，并处罚金2000元。安徽固镇法院另一起案件中，被告人利用新办手机号登录前机主账号盗刷6000余元，被判处拘役四个月，并处罚金5000元。

根据 《刑法》 关于盗窃罪的规定，盗窃公私财物数额较大的，处三年以下有期徒刑、拘役或者管制，并处或者单处罚金。各地“数额较大”的立案标准一般为1000元至3000元以上。齐女士涉案金额6551.34元已明显超过刑事立案标准，她已于9月5日报警。需要说明的是，刑事追诉与平台先行赔付并不冲突——平台先行赔付后，可依法向实际侵权人追偿。

平台的民事责任。 在司法实践中，若用户能证明“非本人操作”，法院通常会要求平台举证证明其已尽到安全保障义务。若平台无法证明（如缺乏完整的身份验证记录、未对异常交易进行有效拦截），则可能承担赔偿责任。本案中，凌晨高频扣款、金额精准卡在199元、支付后迅速退款再继续等异常模式，本应触发风控系统的预警和拦截。平台的风控系统是否存在明显漏洞，是责任认定的关键。

四、每个手机用户都该知道的自保指南

这起案件不是孤例。仅在小红书一个平台上，就有多名用户反映遭到哈啰莫名扣款。陕西消费者郭先生的妻子停用手机号被重新投放后，新机主登录哈啰账户修改信息，但免密支付关系未同步解除，新用户下单的费用继续从郭先生银行卡扣除。同类事件的反复出现说明，这并非偶然差错，而是账号安全、手机号回收、支付授权和平台风控之间的系统性脱节。

对于普通用户，以下几点是切实可操作的防范措施：

注销手机号前，务必完成“三件事”。 一是通过工信部“一证通查”服务查询该手机号关联的所有互联网账号，可通过“工信微报”或支付宝“一证通查”小程序操作，48小时内会收到查询结果；二是重点解绑支付类（支付宝、微信支付、银行卡预留号）、社交类和生活类账号；三是关闭所有免密支付和自动扣款功能。

定期检查免密授权。 打开支付宝，依次点击“我的”—“设置”—“支付设置”—“自动续费/免密支付”，检查并关闭不再使用的签约服务。同时建议在免密支付协议中增设“单日/单周期累计交易限额”，仅设单笔限额不足以防范小额高频盗刷。

发现异常后的正确操作顺序。 首先立即关闭相关免密支付，截图保存所有交易记录；其次联系平台客服正式投诉，要求书面回复；再次向12315和12345投诉；最后携带交易流水和销号记录到公安机关报案。目前盗刷申诉通常有72小时的黄金处理期，拖延可能导致平台以“未及时止损”为由拒绝退款。

五、便利不能以安全为代价

免密支付的本质是用便捷换取一定的风险容忍度，但这种容忍不应该无限扩大。当平台明知账号实名信息与支付实名信息不一致却不做校验，当凌晨高频异常交易无法触发风控预警，当用户销号后支付授权仍然“永久有效”——这些不是用户的过错，而是平台安全体系的结构性缺陷。

手机号会回收，App会更新，消费场景会越来越便捷，但平台的责任不能跟着旧号码一起失效。齐女士的6551元，考验的不只是一个平台的赔付诚意，更是整个行业对用户资金安全的底线认知。期待这起事件能推动平台完善实名核验机制和异常交易风控体系，也希望每位读者从今天起检查一下自己的免密支付授权——几分钟的操作，可能避免数千元的损失。