聚宝盆为领免费游戏皮肤高中生落入陷阱母亲账户被盗刷15万

说到防范电信网络诈骗，大多数人都不会把这件事跟孩子联系到一起，小孩没什么钱，诈骗分子何必费尽心思去骗他们呢？其实表面上看不法分子盯上的是孩子，最终目的则是窃取家长的支付信息实现盗刷。关注一起发生在北京的案例。

17岁的高二学生小林平时喜欢打网游，一天他收到了一条QQ好友验证，对方称自己是一名游戏主播，如果小林能够加入他的粉丝团，对方可以替他免费购买“王者荣耀”的游戏皮肤，并发了营业执照的图片以作证明。

北京市公安局西城分局刑事侦查支队中队长申文静：事主听了还挺高兴然后就通过了，对方随即打过来一个QQ视频，跟事主说如果要实现这个操作的话必须两部手机验证身份，让事主去拿家长的手机。

于是小林把妈妈的手机拿了过来。这时对方又说，为了确保操作的真实性，小林需要用自己的手机开着QQ视频对着妈妈的手机拍摄。

北京市公安局西城分局刑事侦查支队中队长申文静：根据对方的指示，事主先操作进入家长的支付宝App，进入之后对方又指导事主点击了免输卡号添加这个选项。

随后，对方在视频通话中诱导小林向妈妈的支付宝免输卡号添加银行卡，并修改了支付宝的密码。在对方的哄骗下，小林还在手机上输入了妈妈的名字以及身份证号码等信息。

直到妈妈忙完家务后看到他的奇怪举动，他才中止了与对方的视频通话。后经查询，小林妈妈名下的两张银行卡，在不到两个小时里，以转账、异地刷卡消费等方式产生了30多笔交易，共造成损失15.3万元。

不知道银行卡号和密码

骗子是怎么盗刷的

在这起案例中，无论是被骗的中学生还是远程操控他的骗子，他们自始至终都不知道家长银行卡的卡号、转账密码以及支付宝密码，甚至在案件发生前，两张被盗刷的银行卡都没有与支付宝账户绑定。但是骗子却通过支付宝账户对两张银行卡盗刷转账30多笔，这是怎么做到的？

北京市公安局西城分局刑事侦查支队中队长申文静：没有掌握具体信息怎么实现银行卡盗刷？他们通过免输卡号添加银行卡这项功能，把中学生家长的银行卡账号绑定到了支付宝，变相掌握了银行卡的操作权。

免输卡号绑卡功能，是指手机支付平台通过与银行合作，实现无需手动输入银行卡号即可完成绑卡的一种服务。民警表示，这一服务在给用户提供便利的同时，也存在一定安全风险。

北京市公安局西城分局刑事侦查支队中队长申文静：点击支付宝里面的银行卡服务选项，进来之后有一个添加卡选项，里面有免输卡号添加的服务。里面列了银行的清单，只要银行名下有银行卡号就点击它，比如说点击北京银行添加卡，同意协议并添加以后，在这个银行的所有卡号就会显示出来，而且这个银行会发送短信验证码，输入验证码之后就显示绑卡成功了。

凭验证码完成绑卡

转账权限同步授权

在免输卡号绑卡过程中，不需要输入具体的卡号和密码，也不需要人脸识别认证，只要能知道手机验证码即可。问题来了，绑卡之后，如果想通过支付宝进行转账或者盗刷不是还需要密码吗？很少有家长会让孩子知道这些，既然孩子不掌握，骗子就没法从孩子口中套取，骗子又是如何能够盗刷和转账的？

首先需要了解的是，当在支付宝上完成绑卡操作后，除了在购物消费时，这张银行卡可以被支付宝调用外，这张卡向其他银行账户转账的权限也同步授权给了支付宝。换句话说，通过支付宝操作银行卡转账，已经不需要银行密码了，需要输入的是支付宝的支付密码。可是被骗的小林并不知道妈妈的支付宝密码，他是如何转账的？

北京市公安局西城分局刑事侦查支队中队长申文静：对方又让事主修改支付宝的支付密码，然后根据对方的指示，事主把密码改成了888000。

小林能修改妈妈的支付宝密码吗？记者对此也进行了尝试，在支付宝内点击支付密码按钮后，系统会给出两个选项，当记者选择不记得支付密码后，默认进入的是刷脸验证环节。然而这个环节并非强制，只要点击页面下方“换个验证方式”按钮，就可以轻松避开刷脸。用短信验证码修改完成之后，记者又试图再次修改支付密码，也许是频繁修改的举动触发了动态风控，此时在手机验证码的基础上，系统自动提升了验证难度，但仍然没有强制进行人脸识别。

据受骗学生小林回忆，当时他就是通过短信验证码+回答相关问题的方式，对支付密码进行了修改。有了支付密码，诈骗分子就可以诱导小林进行转账操作了。