手机屏幕亮着，支付凌晨两点的宝被光刺得人眼睛发酸。一条短信跳出来："您尾号8848的盗刷账户支出人民币12,800元。"我盯着那串数字，案例脑子空白了三秒——手机就躺在枕头边，支付指纹解锁还热乎着。宝被

这不是盗刷电影桥段。上个月，案例我同事老周就碰上了这事，支付支付宝被盗刷，宝被全程不过四分钟。盗刷他当晚在朋友圈吐槽："睡前看了眼余额，案例早上起来就剩个零头。支付"底下评论区炸了锅，宝被有人说自己也被盗过，盗刷有人骂支付宝风控是摆设。老周去申诉，客服让他提供一堆证明，最后折腾了半个月才追回一半。

问题出在哪？不是密码泄露，也不是手机丢了。老周平时用支付宝买菜、交水电费，绑定的是工资卡。他仔细回想，唯一可疑的是上周在某个小网站用支付宝付过一笔9.9元的电子书钱。那网站看起来简陋，付款时跳转了几次，他没在意。

盗刷的手法不算高明——通过撞库拿到账号密码，再伪造设备信息登录，最后用小额免密支付功能把钱转走。支付宝的"小额免密"默认开启，单笔200元以下不用输密码。盗刷者拆成几十笔小额转账，像蚂蚁搬家一样，一晚上就把卡里的钱搬空了。老周说，他早上看账单，密密麻麻几十条，每笔都是199.9元，看得人头皮发麻。

更讽刺的是，支付宝的风控短信在盗刷进行到第二笔时就发出去了，提示"检测到异常登录"。但老周睡得死，根本没看到。等他一觉醒来，钱早没了。这让我想起一个做安全的朋友说过的话："风控系统再厉害，也挡不住用户不配合。人睡着了，系统再聪明也是白搭。"

那这事怪谁？怪老周贪便宜在野鸡网站付款？怪支付宝把免密额度设得太高？都有点道理，但又不全对。我翻了翻支付宝的协议，里面写着"因用户保管不善导致账户信息泄露造成的损失，平台不承担责任"。可问题是，老周压根没泄露密码，是网站数据库被拖库了，他属于"被动受害者"。这种时候，平台拿协议当挡箭牌，用户只能自认倒霉。

老周后来学乖了，把免密支付关了，转账限额调低，还专门弄了个不放大额资金的卡专门网购。他说："就当花钱买教训，但下次再被盗，我直接报警，不跟他们扯皮了。"我问他追回的那一半怎么拿到的，他苦笑："闹呗，打客服电话骂了一通，又去黑猫投诉，最后支付宝松口了，说'特殊处理'。"

你看，平台不是没能力拦截，而是愿不愿意花成本去拦。小额免密是方便，但方便的背后是把风险转嫁给用户。我自己的做法是，把支付宝里的余额全买了理财，平时付款用花呗——万一被盗刷，至少不是自己的钱，还能找平台扯皮。听起来有点怂，但对付这种事儿，只能自己多留个心眼。

手机又震了一下，是银行发来的消费提醒。我看了眼，是楼下便利店买早餐的6.5元。松了口气，但那种半夜收到扣款短信的恐惧感，怕是没那么容易过去了。