移动支付大漏洞来了 手机一丢 倾家荡产

手机被偷的移动那一刻，李薇还没意识到问题的支付严重性。她站在广州地铁三号线的大漏洞手荡产车厢里，摸了摸空荡荡的机丢右边口袋，脑子嗡了一下。移动那部手机绑着两张银行卡、支付一个支付宝、大漏洞手荡产一个微信支付，机丢还有她刚发工资还没来得及转出的移动八千多块。

她借了别人的支付手机打给自己，关机。大漏洞手荡产再打给银行客服挂失，机丢客服问她卡号，移动她背不出来——所有卡号都在手机备忘录里。支付打给支付宝客服，大漏洞手荡产机器人语音让她输入身份证号验证，她报了三遍，系统说"信息不匹配"。她蹲在体育西路站的站台上，手心全是汗。

这不是电影情节。移动支付把我们的钱包装进了手机，也把全部身家押在了一块六英寸的玻璃屏幕上。丢手机这件事，正在从"麻烦"升级成"灾难"。

问题出在哪？我拆开讲。

第一层，你的手机号就是你的身份。绝大多数App的密码找回逻辑是：发短信到绑定手机。手机丢了，捡到的人把SIM卡拔出来插进另一部手机，你的微信、支付宝、银行App全部可以通过短信验证码重置密码。整个过程不需要指纹，不需要人脸，只需要那串六位数字。有人会说"我设了锁屏密码"，但SIM卡本身可以设置PIN码这件事，运营商从来不主动提醒你。默认状态下，那张卡插进任何手机都能收短信。

第二层，免密支付和自动扣款。你开通过多少个"小额免密"？打车、外卖、视频会员、共享单车。这些授权在你丢手机之后不会自动失效。捡到手机的人不需要破解你的支付密码，他只需要打开你手机里的App，用你已经授权过的免密通道一笔一笔刷。每笔金额不大，但架不住次数多。等你挂失成功，可能已经过去四十分钟。

第三层，也是最要命的——身份验证的连环套。很多平台改密码需要"原密码+短信验证"，但如果你选了"忘记密码"，就只剩短信验证一条路。而短信，恰恰在别人手里。更荒唐的是，有些银行App修改登录密码只需要短信验证码加身份证号后六位，而你的身份证照片可能就存在手机相册里。

我认识一个做安全的朋友，他做过实验：捡到一部没设SIM卡锁的手机，从微信零钱通转出五千块到另一个微信号，全程只用了不到三分钟。他说，大部分人连"SIM卡PIN码"这个功能在哪设置都不知道。iPhone在"蜂窝网络"里翻半天才能找到，安卓机各家藏得更深。

那怎么办？说几个我现在自己在用的笨办法。

给SIM卡设PIN码。这是第一道闸，手机重启或换机插卡时必须输入，输错三次卡直接锁死。去营业厅或者打运营商客服都能办。

关掉所有非必要的免密支付。微信在"服务-钱包-支付设置"里，支付宝在"我的-设置-支付设置"里，把能关的都关了。麻烦一点，但比丢钱强。

别把身份证照片存在相册里。实在要存，放在加密的笔记软件里，别用系统自带的相册。

还有一条最实在的：手机丢了，第一时间借电话打给运营商挂失SIM卡，不是打给银行。卡停了，短信收不到，后面所有验证码通道全部断掉。这一步比什么都管用。李薇后来告诉我，她那天先打给银行耽误了二十分钟，等挂失SIM卡的时候，微信零钱已经被转走了一笔。

移动支付确实方便。但方便和安全之间那条缝，现在宽得能掉进去一个人全部积蓄。手机别丢，丢了也别慌——先锁卡，再挂失，顺序别搞反。