你载着一个客人从醴陵火车站到城东，车费谈好了10块钱。到达后他掏出手机扫码，你听到"滴"一声，拿回手机继续接单。等到晚上回家打开支付宝一看，余额莫名其妙少了900块--拉这一趟赚了10块，倒贴了890。
这不是错觉。今年5月，醴陵好几个摩的司机都遇到了同样的怪事，一起报了警。
警方很快锁定了嫌疑人凌某某，查明的作案方式让人后背发凉：他专门挑年龄偏大、对手机操作不熟的司机下手，趁他们打开支付宝准备收款时，快速拍下屏幕上的付款码，发给同伙远程用POS机直接刷走账户里的钱。
凌某某在2026年5月共作案3起，盗刷总金额2900余元，单名受害者最高被盗刷900元。
这笔账你扛得住吗？
摩的司机在路边等一个客人，平均要蹲上十几分钟甚至半小时。一天跑下来，好的时候能挣一百多块，差的时候可能连油钱都回不来。900块钱，你可能得在路上晒上好几天才能挣到。
而这一切是怎么发生的？--你打开支付宝的收付款界面，默认首屏弹出来的是"向商家付款"的付款码，不是收款码。
付款码下面有条形码、二维码，还有一串18位数字，这些信息如果被拍下来，对方不需要你的密码，不需要指纹，直接用POS机扫一下就能完成支付，因为平台默认开通了单笔500元以内的免密支付。
所以问题出在哪？不是你的手机坏了，也不是支付宝系统出了bug--是你习惯性地把付款码当收款码亮了出去。
到底是怎么被盯上的？
全国近3年的同类案件，受害者70%以上是中老年群体，集中在摩的司机、路边流动摊贩、个体小商户这些高频使用移动收款但认知盲区明显的人群。超过6成受害者平时不会主动核对账户流水，盗刷发生后过了好几天甚至十几天才发现钱少了。
凌某某团伙的手法算是"老套路升级版"：最早2017-2018年，骗子是打电话让你口头念出付款码下方的18位数字直接盗刷；后来演变成现场偷拍完整码图，实时传给同伙在付款码一分钟有效期内完成扫码；到了2025年，甚至出现了结合NFC技术的升级版本，单案涉案金额从千元级飙升到数十万元级别。
但最可怕的是这门"生意"的进入成本太低了--不需要你扫码，不需要诈骗话术，不需要获取账号密码，只需要靠近你几秒钟拍一张照片。
关掉这个开关，谁偷拍都没用
好消息是，你只需要花1到2分钟做三件事，就能彻底堵住这个漏洞：
第一，收款时只亮"收款码"。打开支付宝后，手动切换到收款码页面再出示--屏幕右上角清晰显示"收款"字样才算安全。
第二，关掉"付款码免密支付"。路径在支付宝"设置"→"支付设置"→"免密支付/自动扣款"，把付款码免密支付关了。虽然每次付款多输一次密码需要两秒钟，但那900块钱够你输几万次密码。
第三，开启"付款码隐私保护"。进入付款码界面必须验证指纹或人脸，即使误触也不会直接暴露完整码图。
如果你已经被盗刷了，平台支持全额赔付--支付宝和微信支付都有明确规则，符合"非用户故意泄露"条件的，经审核后资金会被返还。过往同类案例中，符合条件的受害者平均3个工作日就完成了返还。
其实这样的盗刷手段，真正瞄准的不是什么高科技漏洞，而是你对"习惯"的不设防。习惯打开支付宝直接亮出第一页，习惯不核对账户流水，习惯觉得免密支付更方便--所有被挑中的摩的司机，问题都出在这里。
