9月9日，一则“女子支付宝账户遭哈啰打车盗刷6551元”的新闻引发广泛讨论。据徽声在线报道，广州的齐女士遭遇了一件烦心事：自7月25日以来，她的支付宝账户被哈啰打车平台连续盗刷，累计产生了109笔异常订单，总金额高达6551.34元。

经过深入调查，发现这起盗刷事件的背后隐藏着两个关键因素：一是“旧手机号二次放号”现象，二是“免密支付的安全漏洞”。原来，齐女士两年前注销的一个手机号码被运营商重新分配给了新用户。这位新用户利用该号码登录了仍与该手机号绑定的哈啰旧账号，并通过已签约的支付宝免密支付功能，无需任何验证便直接完成了扣款。更为严重的是，哈啰账号的实名信息与支付宝的实名信息并不匹配，但平台在交易过程中并未进行二次身份验证，这无疑为盗刷行为提供了可乘之机。
面对齐女士的全额退赔要求，哈啰客服却表示只能补偿200元，并解释称由于金额过大，无法直接全额赔付，需等待实际乘车人还款后才能进一步处理。而支付宝方面则回应称，一旦用户签约了免密支付服务，除非用户主动关闭，否则该授权将持续有效。同时，支付宝也坦言，平台与签约方之间并没有建立定期比对实名信息的机制。

为了更深入地了解免密支付的服务机制，界面新闻查阅了开通该服务时需要同意的《付款授权服务协议》。根据协议内容，免密支付服务允许用户在无需输入密码、短信验证码或进行其他形式验证的情况下，授权特定第三方向支付宝发送扣款指令，并从用户的支付宝账户或其他付款渠道中扣取指定款项至该特定第三方指定的账户中。

此外，协议还规定，支付宝可以根据用户事先的授权，在符合条件时直接从用户的支付宝账户中扣款，或将扣款指令传递给其他付款渠道服务主体，由其从相应的付款渠道中扣取指定款项至指定账户。

在协议的注意事项部分，支付宝特别提醒用户，由于免密支付在执行资金划转时无需用户输入支付密码、短信验证码或生物信息核验，因此一旦用户的支付账户登录/支付密码、与支付账户绑定的第三方账号、生物识别信息泄露，或用户的手机等移动终端设备丢失、被盗，都可能导致用户的账户被他人冒用进行免密消费，用户将承担相应的经济损失。因此，支付宝呼吁用户谨慎保管自己的个人信息及移动终端设备。

值得一提的是，今年初支付宝也曾因“碰一下被盗刷”的传闻而引发社会关注。当时，部分自媒体发布视频声称，有用户在使用支付宝“碰一下”支付功能时，资金被隔空盗刷。

针对这一传闻，1月23日，支付宝安全中心在社交平台发文回应称，近期部分自媒体为吸引眼球和流量，发布摆拍虚假视频，捏造“使用支付宝碰一下钱被隔空盗刷”等不实内容。经公安机关依法办案，部分造谣者已受到应有的惩处。