凌晨两点十七分，盗刷手机屏幕突然亮了。支付一条支付宝扣款通知：498元，盗刷收款方是支付某个陌生的游戏平台。我盯着那行字看了三秒，盗刷脑子还没转过来，支付第二笔又来了——688元。盗刷等我手忙脚乱打开支付宝，支付余额已经少了三千多。盗刷

这不是支付什么高明的黑客攻击。后来查账单才发现，盗刷所有扣款都通过“免密支付”完成。支付那个游戏平台我压根没听过，盗刷但支付宝的支付协议里，我的盗刷账户确实授权过一类小额免密通道。问题出在哪？我翻了一个小时记录，终于想起来：三个月前，我在一个二手交易网站上买过一张充值卡，卖家发来一个链接，说“点进去填支付宝账号就能自动发货”。当时我犹豫了一下，但看到页面长得跟支付宝登录界面几乎一样，还是输了账号密码。

那是个钓鱼页面。我的账号密码被套走，对方没有立刻动手，而是等了三个月——等我把这件事忘干净。然后他们用我的账号去开通各种免密代扣，每次金额不大，但频率高。如果不是那天我恰好没睡，可能还要更久才发现。

支付宝的安全体系其实不差。设备锁、人脸识别、异常交易拦截，这些功能都有。但问题在于，用户自己把钥匙交出去了。钓鱼链接骗走的不是技术漏洞，是人的警惕心。更麻烦的是，免密支付和自动扣款这类授权，一旦开通，支付宝默认是“本人操作”。你要追回钱，得先证明那笔交易不是你点的——这个举证责任，落在用户头上。

我打了客服电话。第一通，机器人语音绕了五分钟，转人工等了十二分钟。客服态度不差，但翻来覆去就一句话：“您需要提供报警回执，我们才能配合调查。”报警？三千多块，派出所立不立案都两说。我挂了电话，自己翻支付宝的设置，在“支付设置”里找到“免密支付/自动扣款”那一栏。点进去，里面躺着七个签约项目，有三个我完全不认识。最早的一个，签约时间是去年十一月。

解约倒是很快，点两下就取消了。但钱呢？已经扣走的，支付宝说“建议联系商户协商”。商户在哪？那个游戏平台的客服邮箱，发过去三天没回音。后来我在一个维权群里看到，有人被同样的套路刷了八千多，折腾两个月，只追回来一半。追回的那一半，还是因为那个商户正好被警方端了。

这事之后我改了习惯。支付宝里把“付款码”的免密额度调到最低，所有自动扣款项目每月检查一次。更重要的是，任何要输支付宝密码的链接，不管页面长得多像，一律从支付宝App里手动搜入口进去。多花三十秒，比丢三千块划算。

说真的，移动支付方便到这个程度，风险其实转移到了用户这边。平台把安全工具都摆在那儿了，但默认设置往往是“方便优先”。你不主动去关，它就一直开着。那些钓鱼的人赌的就是这个——赌你懒得看协议，赌你记不住三个月前点过什么链接，赌你发现钱少了之后嫌麻烦不追了。

我现在每次看到“免密支付”四个字，都会想起那个凌晨。手机屏幕的光打在脸上，扣款通知一条接一条，而你什么都做不了。那种感觉，比丢钱本身更让人难受。