手机屏幕亮起来，代接短信一条短信弹进来：“【XX银行】您的验证验证码是839261，请勿泄露。代接短信”我瞄了一眼，验证顺手转发给了老张。代接短信三秒钟后，验证他回了个“OK”的代接短信表情。这笔交易成了。验证

老张是代接短信我一个做电商的朋友，人在深圳，验证手机号却是代接短信北京移动的——早年注册店铺用的，绑了一堆商家后台、验证支付接口，代接短信换号等于自断经脉。验证可问题在于，代接短信那张北京卡早就不插在手机里了，平时收验证码全靠一台扔在出租屋里的旧安卓机，连着WiFi，屏幕裂了，电池鼓包，充电得顶着书才能站稳。上个月那台手机终于罢工，老张急得差点飞北京，最后找了个专门做“代接短信验证码”的服务商，一个月五十块钱，把那张卡寄过去，对方插进猫池里，云端随时能查收短信。

这种服务灰色得很，明面上是“物联网卡管理平台”，暗地里接的全是真人实名卡。你去搜，能搜到一堆官网，界面做得跟正规运营商似的，支持API调用，程序员能直接写代码批量收验证码。老张说，他第一次用的时候心里也打鼓，怕对方拿着他的卡去注册什么乱七八糟的东西。但用了三个月，除了偶尔收到几条垃圾广告，没出过幺蛾子。

代价是什么呢？隐私。你的手机号在别人手里，哪怕服务商承诺“绝不滥用”，可技术上人家想看你的短信记录易如反掌。老张的卡绑着支付宝、微信、税控盘，万一对方起了歹念，转走钱不是没可能。他心大：“真要搞我，早搞了，人家做的是长期生意，不差我这一单。”

这行当背后有套逻辑：卡贩子从运营商渠道批量办出“纯流量卡”，再以每张几十块的价格卖给平台方，平台插进设备里，按条数或包月收费。有些平台甚至提供“虚拟号”服务——你不用寄实体卡，他们直接给你一个云端号码，能收短信，也能打几次电话，但号段一看就是虚拟的，注册某些银行APP会被风控拦下来。所以老张那种“实体卡托管”反而更稳，因为卡是真实的，运营商系统里查不到任何异常。

风险其实转嫁给了运营商。他们明知道市面上有这种猫池在跑，却很难区分哪张卡是正常使用，哪张卡在搞代收。毕竟一张卡一天收个三五条验证码，跟普通人用手机没啥区别。真正被打击的是那些用来批量注册薅羊毛的卡，一天收几百条，后台数据一查一个准。代接服务商为了活命，会设定阈值——单卡日接收量超过二十条就自动暂停，免得被运营商盯上。

老张说他现在连验证码都懒得看了，直接写了个脚本，让平台把短信内容POST到他的服务器，自动解析出验证码填进登录框。整个流程全自动化，人不用碰手机。他说这话时带着点得意，我却想起另一个搞灰产的哥们儿，前阵子因为用代接码注册了十几个短视频账号刷量，被平台风控连坐，把主号也封了。申诉了半个月，人家客服只回一句：“该账号存在异常注册行为，无法解封。”

代接短信验证码这事儿，本质上是用钱买方便，再用隐私换时间。老张觉得值，因为他的生意离了这玩意儿转不动。但换个角度想，一个手机号能证明“你是你”的时代，把证明自己身份的东西交到陌生人手里，终究是件悬事。哪天服务商跑路、卡被回收、或者运营商突然严打，老张的店铺后台就全锁死了。他倒是不慌：“真到那天，我再想办法呗，活人还能让尿憋死？”

我盯着手机屏幕上那条验证码，删了。自己的卡，自己收，踏实。