广东广州，女子注销掉旧手机号后，运营商又将号码重新投放市场，新号主使用后，竟悄悄用验证码登录女子原来的出行账号，还修改了账号实名信息。

一个已经注销两年的手机号，竟然还能打开旧账号；一个已经换了实名的出行账户，付款时却还在扣原主人的钱。

广东广州的齐女士，就因为这套“账号换人、支付不换”的系统漏洞，莫名其妙损失了6551.34元。更让她难以接受的是，警方已经抓到嫌疑人，平台却只愿意补偿200元，剩下的钱要等嫌疑人退赃。

从2026年7月25日开始，齐女士的支付宝陆续出现哈啰打车扣款，累计109笔，单笔金额从十几元到199元不等，凌晨时段尤其密集，有些订单看起来就很不正常。

比如8月19日凌晨1点15分和1点35分，系统连续生成两笔订单，起点和终点完全相同，都是“黄埔区图书档案大楼——清远漂流”，金额分别为192.9元和192.3元。

凌晨一点多，同一地点出发，前往同一个目的地，短时间内连续打两次车。别说普通人了，平台自己看到这样的订单，也该问一句：这车到底有没有开出去？

但系统没有拦截，扣款照常完成。

直到9月3日，齐女士查看招商银行余额时，才发现账户里的钱已经少了一大截，她回头核对交易记录，才发现这些订单早已悄悄完成，钱从自己的支付宝划走，进入了陌生人的口袋。

事情还要从2024年3月说起，当时齐女士注销了一个不用的旧手机号，运营商按照流程完成注销，经过90天冻结期后，又将这个号码重新投放市场。

谁能想到，真正的风险并没有随着号码注销一起消失。

新号主拿到号码后，通过短信验证码登录了齐女士此前仍绑定该号码的哈啰账号，登录成功后，对方把账号实名信息改成了自己。

这一步看起来很正常，实际上却留下了一个巨大的缺口：哈啰账号的实名已经换人，但齐女士此前签约的支付宝免密支付协议仍然保留，绑定的付款账户也没有被解除。

换句话说，账号已经属于别人，钱却还从齐女士的账户里扣。

支付宝方面确认，免密支付签约后，除非用户主动关闭，授权通常会持续有效，平台与支付机构之间，也没有定期比对账号实名和付款人信息是否一致的机制。

系统只认一个结果：免密协议还在，扣款就继续。

至于现在使用账号的人是不是原来的实名人，平台似乎并不关心，新号主用别人的旧账号，改成自己的实名，再花原主人的钱，整个过程中没有触发强制验证，也没有弹出风险提醒。

这不是多么高明的技术犯罪，更像是手机号二次放号、账号管理和支付系统彼此脱节后，给人留下的一扇“没锁上的门”。

新号主也没有真的把这些钱花在打车上，警方联系部分涉事网约车司机后了解到，嫌疑人私下添加司机联系方式，要求司机接单，但不实际行驶。订单显示完成后，司机留下少量费用，再把剩余的钱转给嫌疑人。

虚假的行程，真实的扣款，钱从齐女士账户里出来，绕一圈后被套现。

109笔订单也不是随手乱刷，多数金额被控制在200元以内，操作集中在凌晨，有的订单还出现“先付后退”的循环迹象。这样的操作，很像是在反复试探免密支付的额度和平台风控边界，寻找一条不容易被系统拦下的通道。

齐女士发现异常后马上报警，9月12日，她拿到了案由为“盗窃一案”的刑事案件受理回执；9月22日，警方正式立案；9月27日，她到派出所补交订单流水，并在当天收到破案告知书，主要犯罪嫌疑人已经到案。

嫌疑人被抓，案件有了进展，但钱并没有因此全部回来。

平台给出的处理方案是补偿200元，剩下的损失等嫌疑人退赃，6551.34元对200元，这个数字对比，几乎不用解释谁更吃亏。

齐女士无法接受，准备通过起诉维权，她最想不通的是，自己注销手机号时没有违规，也没有把银行卡交给别人，更没有下过这些订单。

平台如果只拿“手机号已经注销”来解释，反而说明它没有真正解决实名变更后的权限清理问题，手机号可以重新分配，但旧账号的支付授权不能跟着号码一起“复活”。

这件事真正暴露的，不只是一个人的6551.34元被盗，而是很多平台仍把“实名安全”和“支付安全”当成两套互不相干的系统。账号换了人，付款权限却原封不动，这样的漏洞不补上，今天是齐女士，明天可能就是任何一个注销过旧手机号的人。

技术漏洞不能变成用户的账单，平台享受便利时，也必须承担安全的代价。

信源：澎湃新闻 2026-10-03 10:12 女子手机号注销两年仍关联免密支付，被盗刷6551元！涉事平台愿补偿200元