张明是网站在凌晨两点发现不对劲的。他刚在某个电商平台下单了一台相机，注册手机短信就弹出一条验证码——但那条验证码不是信息他触发的。他下意识点进那个平台的盗用个人中心，收货地址里多了一个陌生的网站名字和电话，地址指向某个城中村的注册快递驿站。

他赶紧改了密码，信息但已经晚了。盗用第二天早上，网站他收到银行扣款通知：那张绑定在平台上的注册信用卡，被刷走了两笔大额消费，信息收款方是盗用两家从没听过的数码店。张明打电话给银行、网站给平台客服，注册折腾了一上午。信息客服告诉他，他的账号在昨晚被“异地登录”，而对方是通过“找回密码”功能重置了他的登录口令——前提是，对方得知道他的注册手机号，并且能收到验证短信。

这就怪了。张明的手机一直揣在兜里，短信也没转发过。后来客服又补了一句：如果账号绑定的手机号本身已经被“换绑”了呢？张明这才想起来，他半年前用同一个手机号注册过某个小众论坛，那个论坛泄露过用户数据，暗网里打包卖，几块钱就能买到一批手机号、邮箱和密码。他的密码确实在那次泄露里躺过——而他在电商平台用的，是同一个密码。

盗用者根本不需要碰他的手机。他们先拿泄露的密码去撞库，撞开电商平台的登录，然后在“安全设置”里发起换绑手机号的操作。平台会往原手机号发一条验证码，但盗用者利用的是运营商“短信拦截”的漏洞——有些虚拟运营商的号段，或者某些手机安全软件的云端同步功能，能让短信在到达用户前被截走。张明的手机号恰好是从一个二手号码贩子手里买的，前主人没注销干净，短信偶尔会漏到别人那儿去。

整个链条里，张明唯一做错的，就是在一个平台泄露密码后，没在其他地方改掉它。但平台也有责任——它允许用户用短信验证码作为唯一的身份重置凭证，而短信验证码本身并非绝对安全。更气人的是，张明发现那个被改的收货地址，是盗用者专门用来接收“货到付款”包裹的。那些数码店根本不存在，盗用者用他的账号下单，再在后台把支付方式改成“货到付款”，卖家发货到驿站，他再去取货。银行扣款那两笔，其实是盗用者用他账号绑定的信用卡，在另一个二手平台上买了充值卡，再转卖套现。

整个过程，张明没收到任何一条来自平台的异常登录提醒——因为盗用者登录后第一件事，就是关掉了所有通知。他去找平台索赔，平台说“您账号被盗属个人密码管理不当”，银行说“盗刷需警方立案证明”，派出所说“涉案金额不够立案标准”。他最后自己花了两周时间，用平台日志和运营商通话记录凑齐证据，才追回一半损失。

我问他后来怎么处理的。他说把那家平台绑定的银行卡全解了，密码换成了随机生成的长串，还专门买了个密码管理器。但他说这话时没什么底气——因为他的手机号，那个二手号，还在漏短信。他给运营商打电话要求换号，运营商说“得本人带身份证到营业厅”，而他不是那个号码的“本人”。

网站注册信息盗用这事儿，从来不是“你点了个钓鱼链接”那么简单。它更像一场接力赛：你的旧密码是起跑枪声，平台的安全漏洞是中转棒，运营商的管理疏忽是终点线。你以为自己没跑，但其实早就在赛道上了。

(责任编辑：焦点)