漏洞盗钱

凌晨三点，漏洞盗钱我的漏洞盗钱手机屏幕突然亮起来。不是漏洞盗钱闹钟，是漏洞盗钱银行APP推送的扣款通知——连续五条，每笔都是漏洞盗钱199元。

我瞬间清醒。漏洞盗钱信用卡在钱包里躺着，漏洞盗钱手机在枕头边，漏洞盗钱没有验证码弹窗，漏洞盗钱没有指纹确认。漏洞盗钱钱就这么没了，漏洞盗钱像被一只看不见的漏洞盗钱手从账户里掏走。

打电话挂失时，漏洞盗钱客服说这是漏洞盗钱"小额免密支付"的漏洞。我压根没开通过这个功能，漏洞盗钱但黑客用技术手段绕过了验证。他们先盗用了我某购物网站的账号，拿到绑定的银行卡信息，再通过一个叫"代扣协议"的接口把钱划走。整个过程不需要密码，不需要短信验证码，只需要知道卡号和持卡人姓名。

那几天我翻来覆去睡不着。不是心疼那九百多块钱，是觉得荒谬——我们每天用的支付系统，号称多重加密、银行级安全，结果一个第三方代扣协议就能击穿所有防线。更讽刺的是，当我联系银行时，对方第一句话是"您是不是点了什么链接"；联系购物网站，客服说"我们只负责账号安全，支付问题找银行"。

两头踢皮球，钱在中间蒸发。

后来警方立案，查了三个月才找到线索。犯罪团伙专门收购"白号"——就是那些长期不用、密码简单的老账号。他们用脚本批量测试，一旦撞库成功，就通过平台漏洞发起代扣。单笔金额都控制在200元以下，因为小额交易不会触发风控审核，很多受害者甚至不会发现。

我算幸运的，至少发现了。网上有个帖子，一个大学生被扣了两个月才发现，每月扣198元，总共扣了17笔。他查账单时差点以为是哪个会员自动续费，仔细一看交易名称写着"网络服务费"——鬼知道这是什么服务。

这类漏洞有个专业名词叫"支付通道劫持"。听起来很高级，实际操作却简单得吓人：犯罪分子只需要找到支持代扣的商户平台，再用盗来的身份信息注册成商户，就能发起扣款请求。银行和支付机构之间的信任链条，成了他们最趁手的工具。

我后来把银行卡全换成了二类账户，里面只放几百块零钱。大额资金存定期，要用钱时再转账。朋友笑我太极端，我说你们没经历过半夜被扣款的感觉。

这事过去半年了，每次手机响起支付通知的提示音，我还是会下意识地心跳加速。技术漏洞可以修补，但那种被无声无息侵入的不安全感，像根刺扎在肉里，拔不出来。