拼多多漏洞事件

2023年5月，拼多一个叫“多多钱包”的多漏洞事功能被推到了风口浪尖。有用户发现，拼多在拼多多APP里绑定银行卡后，多漏洞事平台会默认勾选一项“免密支付”协议，拼多而且这个勾选框藏得极深——在支付页面的多漏洞事二级菜单里，字体小得几乎要拿放大镜看。拼多更离谱的多漏洞事是，取消入口被设计成了“迷宫”：你得先点“我的拼多”，再进“设置”，多漏洞事找到“免密支付”，拼多然后在一堆已开通的多漏洞事服务里翻半天，才能关掉它。拼多

这不是多漏洞事拼多多第一次被曝出类似问题。2021年，拼多有安全团队发现拼多多的Android版本存在一个“提权漏洞”，攻击者可以利用它绕过系统权限，读取用户相册、通讯录甚至聊天记录。当时拼多多回应称“已修复”，但修复方式很取巧——不是从代码层面堵住漏洞，而是通过热更新把相关功能模块直接删了。这种“砍掉功能来修漏洞”的做法，在技术圈里被戏称为“截肢式修复”。

我自己试过那个免密支付的取消流程。点进“多多钱包”，界面花里胡哨，各种红包和优惠券弹窗轮番轰炸。你要找的“支付设置”按钮，被挤在屏幕最底下，颜色还跟背景差不多。点进去之后，默认勾选的“免密支付”旁边有个灰色小字“已开启”，点它才会弹出关闭选项。整个过程至少需要六次点击，中间还有两次弹窗挽留——“确定要关闭吗？关闭后将无法享受极速支付哦”。说实话，这种设计不是技术做不到简化，是故意不让你简化。

漏洞和“漏洞式设计”是两码事。前者是代码缺陷，后者是产品逻辑上的刻意为之。拼多多的很多所谓“漏洞”，其实是把用户当成了测试用例。比如那个“砍价免费拿”的进度条，永远卡在99.9%，你拉再多新用户也砍不掉最后那0.1%。这不是bug，是feature——用算法精确控制你的挫败感，让你在放弃边缘反复横跳。

有前拼多多员工在匿名社区爆料，说公司内部有个“增长黑客”团队，专门研究怎么利用人性弱点做裂变。他们的KPI不是用户体验，是“分享率”和“拉新成本”。免密支付默认开启，是为了缩短支付路径，提高转化率；砍价进度条做假，是为了让你多拉几个人。这些操作在内部被包装成“精细化运营”，实际上就是钻监管和用户认知的空子。

2023年4月，工信部通报了一批侵害用户权益的APP，拼多多因“欺骗误导用户下载”和“违规收集个人信息”被点名。但处罚力度呢？限期整改，罚款几十万。对于拼多多这种体量的公司，这点钱连九牛一毛都算不上。更讽刺的是，通报发布后，拼多多的下载量反而涨了一波——很多人是看了新闻才知道“原来还有这种操作”，然后出于好奇去下载看看。

技术本身没有善恶，但做技术的人有。当一个平台把“漏洞”当成增长工具，把用户当韭菜割的时候，它离真正的技术公司就越来越远了。拼多多2022年研发投入不到营收的5%，而营销费用是研发的三倍多。这个数字比任何漏洞都更能说明问题——他们不是修不好漏洞，是根本不想修。