买7元早餐，才发现卡里近26万没了！

你卡里的钱，可能比你想象的危险得多。

湖南湘潭的周女士，10月25日买早餐扫码，提示余额不足。她去银行一查，卡里256954元没了。最大一笔131315.8元。

钱是怎么没的？时间线很清楚。10月17日凌晨3点03分，她的银行卡短信提醒被注销了。接下来6天，不法分子登录她的手机银行。先赎回基金，再把定期转出。然后开通结售汇业务，把人民币换成港币，汇到香港账户。

手法娴熟，路径清晰，一气呵成。

最让周女士崩溃的是：她没接过诈骗电话，没给过任何人验证码，没点过不明链接。她只是回忆起，有一天晚上手机曾经黑屏闪烁。

我们从小被教育的反诈经验——不接陌生电话、不点链接、不给验证码——在这类攻击面前，全部失效了。

我说说我看到的规则漏洞。

第一步，短信提醒为什么能被远程注销？这是银行给客户的最后一道防线。这道防线能被攻破，意味着客户从此变成瞎子。

第二步，结售汇这种高权限业务，为什么纯线上就能开通？换汇出境，涉及外汇管理，居然不需要任何线下核验。

第三步，基金赎回、定期转出、大额换汇，6天内密集发生，风控系统没触发任何预警。一个平时只买早餐的账户，突然6天转出26万，模型不该觉得异常吗？

每一步单独看，银行都有理由：是客户"授权"的。但串起来看，是一套完整的免责闭环。功能越便利，风险越复利。出事了，银行说"疑似电诈，建议报案"。翻译过来就是：这不是我的责任。

我不是说银行该无限兜底。但权责要对等。你享受了线上化带来的低成本，就该承担线上化带来的风控义务。用"客户自己泄露了信息"来推责，前提是你得证明客户确实泄露了。

手机黑屏闪烁一下，26万就没了。这不是一个人的悲剧剧本。这是支付系统给所有人出的一道考题。当攻击手段升级了，防守规则凭什么不升级？