打开网易新闻 查看精彩图片

据媒体报道，广州一名女子注销手机号两年后，仍因该号码关联的某出行平台账户产生几十笔免密扣款、累计损失6551.34元，广州市公安局天河分局已于9月22日立案侦查，9月27日主要犯罪嫌疑人已经到案。

流程审计：

①免密支付是小额支付的便利手段，但免密支付也带来一定的风险，如盗刷。在号码正常使用时被盗刷，风险直接关联到账户主人，这是正常的。但如果盗刷了两年前的已注销的号码，这不应该出现。

打开网易新闻 查看精彩图片

②免密支付的设定应该有有效期，连续使用时间超过一定期限（如一年），就应该重新核验免密的安全性。

③涉及资金的支付工具，尤其是手机作为重要实名认证手段的支付工具，长时间未使用，再次启用时应先核验。由于运营商号码注销有三个月静默期，该未使用所需的核验周期，不应该超过三个月。

打开网易新闻 查看精彩图片

④因为通过应失效却没失效的免密支付为他人付款，支付工具方（此例为支付宝）、应用方（此例为哈啰出行平台）均有责任。但明知是盗刷他人，仍反复制造环境实施盗刷，盗刷者有明显的利用漏洞主观盗窃动机。

审计结论：

①因手机号注销需有三个月以上的沉默期，因此可理解为超过三个月未使用的支付功能、互联网平台登录功能均存在一定的风险，应要求用户二次实名认证，且认证手段不应是简单的“手机号+验证码”。此案中，支付方（支付宝）、应用方（哈啰出行）均有责任，应该先行赔付，且限期完善规则以封堵漏洞。

②明知是盗刷他人账户的钱，还反复盗刷渔利，实施者负主要责任，金额巨大，除全额退款外，还应负刑事责任。

③利用出行平台漏洞，建立虚假行程单辅助骗取资金的司机，也有责任，应接受平台处罚，包括没收非法所得、罚款、注销车主账户等。