上个月，免密我朋友老周的支付重视手机丢了。半小时后补完卡，安全发现微信零钱和绑定的漏洞两张银行卡被刷走一万七。他后来查账单，亟待钱是免密在三个不同便利店被拆成十几笔消费的，每笔都不超过一千。支付重视免密支付。安全小偷连密码都不用猜。漏洞

这事让我开始留意免密支付的亟待安全问题。免密支付的免密设计初衷是好的——小额高频交易不用反复输密码，确实方便。支付重视但方便和安全之间，安全现在明显失衡了。漏洞

我翻了支付宝和微信的亟待免密设置，发现单笔免密额度普遍定在1000元以下，但日累计额度可以到几千甚至上万。这意味着什么？只要手机到了别人手里，或者你的支付账户被远程登录，对方完全可以像蚂蚁搬家一样，一笔一笔把日额度刷干净。老周那十几笔消费，每一笔都“合规”，每一笔都“免密”，加起来却是一笔不小的数目。

更让人不安的是开通环节。很多平台在支付设置里把免密选项默认勾选，用户稍不留神就开了。有些App在首次绑卡时弹窗问你要不要开通免密，那个弹窗设计得跟广告似的，跳过按钮小得可怜。我试过在某外卖平台绑卡，一路点“下一步”，最后发现免密已经开了。想关？得进三层菜单，找“支付设置”，再找“免密支付/自动扣款”，然后逐个解约。这操作路径明显不对称——开的时候一步到位，关的时候层层设卡。

还有自动续费。这跟免密支付是孪生兄弟。很多视频会员、云盘会员首月便宜甚至免费，但开通时就绑定了免密代扣。你想取消？得在到期前手动关，否则下个月自动扣。我有个同事被某网盘连续扣了七个月，每月19块，直到查账单才发现。他压根不记得自己开过。

技术层面，免密支付依赖的是设备指纹和风控模型。但风控模型是概率游戏，不是绝对安全。老周手机丢后，小偷在便利店刷第一笔时，风控系统没拦截，因为金额小、地点正常。刷到第五笔时，系统才发来验证短信——但那时候老周手机已经丢了，收不到。风控的滞后性在这里暴露得很明显。

平台不是没能力做更严的验证。人脸识别、指纹验证、设备绑定，技术上都不难。但每加一道验证，就多一次用户流失的风险。平台在安全和转化率之间，往往选了后者。这可以理解，但不能接受。

用户这边也有责任。很多人开通免密时根本不看条款，觉得“反正小额，没事”。但小额累积起来就是大额，而且丢手机这种事，概率再低，落到自己头上就是百分之百。我现在把免密额度调到最低，日累计也设了上限，自动续费全部关掉。麻烦是麻烦点，但比丢钱强。

免密支付本身不是坏东西。它适合那些真正高频、低风险、可控的场景，比如坐公交、买早餐。但现在它被滥用了，被塞进了太多不该免密的场景里。平台把风险转嫁给用户，用户又缺乏足够的安全意识。这个漏洞不补，下一个丢手机的人，可能还是你我。

(责任编辑：娱乐)