早上八点，支付重地铁里人挤人，宝现我刷开支付宝准备买杯咖啡。漏洞付款码弹出来的支付重瞬间，旁边有人喊了句“我账号里的宝现钱没了”。抬头一看，漏洞是支付重个穿西装的小伙子，手机屏幕上是宝现“转账成功”的提示，可他压根没碰过手机。漏洞这不是支付重电影桥段，是宝现上周真实发生在北京早高峰的事。

支付宝这次捅的漏洞篓子，出在“亲情卡”功能上。支付重简单说，宝现这个功能允许用户为家人开通代付权限，漏洞额度从几百到几万不等。漏洞在于，开通时不需要验证对方身份——只要知道你的手机号，就能申请绑定，而系统默认同意，除非你在48小时内手动拒绝。黑客正是钻了这个空子，批量盗刷用户绑定的银行卡。

我查了下黑产论坛的截图，有人晒出操作教程：先通过非法渠道买到手机号库，用脚本批量发起亲情卡申请，再趁用户没注意时，用小额免密支付把额度刷空。整个过程不到十分钟，单笔金额控制在200元以下，刚好避开短信提醒阈值。最讽刺的是，支付宝官方客服的回应是“建议用户开启夜间保护模式”——合着用户睡觉时还得设个闹钟，起来看看有没有陌生请求？

更让人窝火的是处理流程。我同事张姐的案例很有代表性：她凌晨三点收到扣款短信，立即打电话冻结账户，但钱已经分五笔转走。提交申诉后，客服说“需要3-5个工作日核实”，期间她得自己联系银行挂失。等第五天钱退回来时，她发现支付宝只退了本金，手续费和利息一概没提。她打客服电话追问，对方来了句“这是系统自动处理的结果”。

说实话，我对技术漏洞本身没那么大意见——任何系统都有bug，关键是修复速度和赔偿态度。这次从漏洞曝光到全量修复，花了整整四天。四天里，网上陆续有人晒出损失截图，从几百到上万不等。有位程序员老哥自己写了脚本监控异常请求，发现漏洞期间每分钟就有十几个账号被尝试绑定，这数字看着都瘆人。

我翻了下支付宝的官方公告，通篇都是“已修复”“请用户放心”，可对具体的赔付标准、责任认定只字未提。倒是评论区里，有人扒出这家公司去年在隐私保护上的投入还不到营销费用的零头。这让我想起2017年那次“登录漏洞”事件——当时说是因为“系统升级”，这次又说是“操作流程不完善”。怎么每次出问题，理由都长得差不多？

现在我的做法是，把支付宝里的余额都转到理财通，日常支付改用微信。倒不是觉得微信就绝对安全，至少它出问题时，处理速度比支付宝快——上次我朋友微信被盗刷，两小时就追回来了。说白了，工具是用来方便生活的，不是用来添堵的。如果连基本的安全感都给不了，再大的平台也只能是个装饰品。