凌晨三点，有人替她关掉了短信提醒：26万存款，六天被搬空

不接陌生电话、不给验证码，钱就不会丢吗？湖南湘潭这位大姐的经历，可能会把这个答案直接推翻。

那天早上，她坐在早餐摊前，一碗粉吃完，扫码付款——支付失败。她顺手打开手机银行，刷新了一下余额。屏幕上的数字让她当场愣住：二十六万多的积蓄，只剩十几块零头。那碗粉她一口都没动，转身就往银行网点跑。

打印出来的交易明细厚厚一沓。钱是分九笔走的，前后整整六天。

先是五笔999元、两笔1999元，像探路的小石子；接着一笔5600元；确认没人报警、没人察觉之后，两笔大的砸下来：111046元、131315.8元。合计256954元，账户被掏得干干净净。

最让人后背发凉的是另一件事：她明明开了账户变动短信提醒，平时几块钱的进出都能收到通知，可这六天里，一条短信都没有。柜台一查才发现，在第一笔钱转走的前一天，凌晨三点零三分，她的短信提醒服务被人主动注销了。

那时候她在睡觉。她从没关过这项服务，也没做过任何确认。

银行顺着记录倒推，把对方的操作路径拼了出来：先关掉短信提醒，等于把人眼睛蒙上；再登录手机银行，把定期、基金全部赎回变现，资金归集到活期；接着开通数字人民币钱包，做结售汇换成港币，最后汇往香港。一气呵成，每一步都踩在风控的模糊地带。

工作人员问她：接过陌生电话吗？点过不明链接吗？密码、验证码、授权码给过谁吗？她全摇头。直到走出银行，她才想起一个细节——事发前后某天晚上，手机突然黑屏，接着乱闪，按键触屏全失灵。她以为是系统抽风，重启好了就没当回事。现在回头看，那很可能就是木马在接管权限。

案子已经报了，还在查。钱能不能追回、责任怎么分，都得等结果。

但我想说的不是这个。我想说的是，这件事戳破了一个很多人都在用的“安全幻觉”。

我们这代人的反诈教育，核心就一句话：别信、别点、别给验证码。这话没错，但它防的是“你主动配合”的那一类骗局。而这一次，当事人什么都没配合。她不接陌生来电，不点来路不明的链接，验证码连熟人都没给过——她还是被洗劫了。问题出在哪？出在攻击已经从“骗人”升级成了“骗设备”。木马悄无声息地进来，拿到手机银行的完整操作权，所有指令都从她的常用设备、常用网络发出。在系统眼里，那就是“本人”。

所以也别急着骂银行风控形同虚设。我理解那种憋屈：短信提醒这么重要的服务，凌晨三点被注销，居然没有预警；后面大额赎回、跨境结售汇、境外汇款一连串高危动作，也没有人工核实。这些质疑站得住脚，该问的必须问。但换个角度，当指令看起来完全像本人发的，纯自动化风控确实很难下刀。这不是替谁开脱，而是说一件事：技术防守有天花板，指望它兜住一切，本身就是一种侥幸。

真正的防线，其实是我们自己那点“嫌麻烦”。

说几句实在的，都是能今天就去做的：第一，短信提醒和登录通知一旦收不到，立刻打官方客服核实，别等。第二，手机出现黑屏、乱闪、自动重启、按键失灵这种怪事，别重启了事，备份重要数据后送检或恢复出厂设置。第三，手机银行、支付App单独设复杂密码，开生物识别加设备锁，别图省事用同一套密码到处登。第四，定期看一眼账户的安全设置列表：有没有多出来的登录设备、有没有被开通你不认识的服务、有没有陌生的小额免密签约。第五，大额资金分散存放，日常消费卡里只放够用的钱。第六，遇到异常先冻结再查询，顺序别搞反。

这些事都不难，难的是总觉得“轮不到我”。骗子赌的就是这份自信。他们的迭代速度，早就快过普通人更新常识的速度。你还守着上一版本的反诈经验，人家已经换到下一版本了。

我还想补一句可能不太讨喜的话：这类新闻最容易引发的反应是愤怒和恐惧，但这两样东西保质期都很短。刷完骂两句，明天照旧。真正有用的，是把上面那六条做成习惯，顺手转给家里那个最不信邪的人——往往是爸妈。他们才是这套新手法最喜欢的目标。

钱能不能追回来，我不知道。但我知道，下一个被盯上的人，很可能就住在你的通讯录里。

你怎么看这件事？你觉得银行该不该担责？如果是你，手机半夜突然黑屏乱闪，你会怎么处理？评论区聊聊，也许你的一句话，能帮别人省下二十六万。