“手机号早就注销了，钱却还在被扣。”近日，有媒体报道，齐女士的旧手机号注销后被运营商重新投放使用，但她此前在平台上开通的免密支付协议并没有因为账号实名变更而失效——结果账号实名归了别人，扣款买单的却是她。嫌疑人利用这个漏洞盗刷数千元，案件虽已侦破，损失却迟迟追不回来，平台只愿赔200元。
一个注销的手机号，怎么就成了盗刷的“钥匙”？免密支付一旦开通，是不是就永远甩不掉？这篇把手机号注销与网络支付安全的门道讲清楚。
一、事件复盘
据澎湃新闻报道，齐女士的旧手机号注销后，被运营商回收并重新投放市场。然而，她此前在某平台开通的免密支付协议，并未因为手机号实名变更而自动失效。
新的机主拿到这个手机号后，发现可以登录原账号、触发免密支付，于是利用这一漏洞盗取了齐女士的资金。案件虽被迅速侦破、嫌疑人到案，但齐女士的损失迟迟无法追回，平台方面只表示愿赔偿200元。
舆论关注点集中在三个层面：运营商在号码回收时是否尽到提醒义务，平台在账号实名变更时为何没有触发风控，以及被扣款的消费者能不能要回全部损失。
二、法律核心拆解
民事层面：盗刷损失谁担责，关键看过错
《民法典》第一千一百六十五条规定，行为人因过错侵害他人民事权益造成损害的，应当承担侵权责任。依照法律规定推定行为人有过错，其不能证明自己没有过错的，应当承担侵权责任。
在这起事件里，涉及多个责任主体：
- 嫌疑人：未经授权使用他人账号资金，属于侵权甚至犯罪行为，应当承担返还财产、赔偿损失的责任。
- 平台：开通免密支付、绑定支付通道的平台，对账号异常变更（实名信息与支付主体不一致）负有风控审查义务。平台未尽到安全保障义务，应当承担相应的赔偿责任。
- 运营商：号码注销、重新投放时，涉及账号解绑提醒义务。运营商是否尽到提示责任，是认定其过错的重要考量。
此外，《民法典》第九百八十五条规定了不当得利返还：得利人没有法律根据取得不当利益的，受损失的人可以请求得利人返还取得的利益。被划走的钱，法律上应当返还给真正的权利人。
这里还要提醒一点：即便平台先行赔付，消费者的维权义务也没有结束。配合平台和公安机关调查，提供账号开通时间、绑卡记录、解绑凭证等关键信息，是查明事实、向嫌疑人追偿的重要环节。维权不是一次性动作，而是一个需要持续跟进的过程。
行政层面：支付机构与平台受金融监管约束
《非银行支付机构网络支付业务管理办法》对支付机构的客户身份识别、交易验证、风险监控提出了明确要求。支付机构应当对异常交易进行监测和风险提示。
对于平台账号实名信息与支付主体不一致、免密支付协议长期未失效的漏洞，监管部门可以依据《网络安全法》《个人信息保护法》以及支付结算相关管理规定，要求平台整改。个人信息处理者因处理个人信息侵害个人信息权益造成损害的，依法承担赔偿责任。
刑事层面：嫌疑人行为涉嫌盗窃罪
《刑法》第二百六十四条规定，盗窃公私财物数额较大的，处三年以下有期徒刑、拘役或者管制，并处或者单处罚金。
嫌疑人利用旧号漏洞，未经授权划走他人资金，本质上是秘密窃取他人财物，数额较大的即构成盗窃罪。本案嫌疑人已到案，后续将由司法机关依法处理。消费者需要关注的是民事追偿部分：刑事退赔不足的，可以通过民事诉讼继续追索。
三、破除3个法律误区
误区一：手机号注销了，账号自动就没了
这是最大的误区。手机号只是登录和验证的工具，注销手机号不等于注销账号，更不等于解除绑定的支付协议。不解绑，风险就一直存在。
误区二：被刷走的钱，只能找嫌疑人要
嫌疑人要承担返还责任，但平台、运营商若存在过错，同样要承担相应责任。消费者不必只盯着一条路。
误区三：小额盗刷只能认倒霉
金额再小，也是被非法占有的财产。保留证据、报案、向平台追责，都是正当途径，不要因为“嫌麻烦”放弃权利。
四、普通人实操指引
- 手机号注销前，逐一对所有账号、银行卡、支付平台完成解绑，重点检查免密支付和自动续费协议。
- 发现旧号被他人使用、账号异常登录，立即冻结账号、修改密码、关闭免密支付。
- 发现资金被划走，第一时间联系支付平台冻结，并向公安机关报案，保存转账记录。
- 向平台索赔时，明确要求其提供交易记录和风控日志，主张其安全保障义务。
- 涉及运营商责任（如未提示解绑风险）的，可以向工信部门或12321网络不良与垃圾信息举报受理中心反映。
五、结尾
一个注销的手机号，牵出的是网络支付安全的大问题。解绑是注销前最该做的事，风控是平台必须尽到的责任。多一道解绑的确认，就少一次被盗刷的风险。把这篇转给身边人，注销手机号之前，先看看自己的免密支付有没有“清零”。
参考文章
- 澎湃新闻：女子旧号注销仍遭盗刷数千，平台愿赔两百
- 今日头条转载：媒体评风控漏洞让用户买单
- 相关报道：免密支付协议未随实名变更失效引发讨论