美团月付遭远控盗刷，这笔账该谁负责？

人在广西梧州，凌晨8分钟内，美团账户连续产生4笔餐饮团购券订单，相关券码随后在浙江金华被核销。

4笔订单金额分别为456.59元、377.88元、378元和457元，共计1669.47元。其中1笔通过大众点评下单，另外3笔来自美团，全部使用美团月付。吴先生称本人没有进行这些操作，月付账单却显示，1669.47元将在8月8日到期。

类似情况还出现在陕西、甘肃、广东、河南等地。据红星新闻采访到的用户均使用美团月付，并开启了500元以下免密支付；该报道梳理的公开个案均使用安卓手机。

美团7月29日回应称，逐一核查后判断相关用户很大概率遭遇新型电信诈骗，平台正在配合警方调查。据澎湃新闻援引多方调查称，犯罪分子可能通过木马程序远程控制手机，在用户原有设备和登录状态中购买团购券，再通过转售或核销取得收益。

美团随后增加批量购买前的风险提示和验证，限制团购券转赠，下线部分高风险品类的代付能力，并开通盗刷专项处理通道。未核销订单可以在用户来电后进行拦截，已经核销的订单则进入专项评估。

用户既要追索已经核销的团购券款项，还要处理随之生成的月付账单。

凌晨生成的团购券，很快在异地被核销

公开报道中的订单多发生在凌晨，数笔交易在几分钟或二十多分钟内集中完成。单笔金额普遍低于500元，购买对象集中在餐饮团购券等可以快速交付和核销的商品。多名用户所在地与券码核销城市相隔数百甚至上千公里。

甘肃张掖一名用户7月21日凌晨通过美团月付被消费约2475元，购买的5张团购券在当天先后于北京、南京、南通、义乌等地核销。3天后，其账户再次产生约1500元异常交易。银行发出风险提示后，他及时发现第二批订单，并对尚未核销的部分申请处理。

广西梧州用户发现1669.47元账单后申请退款，4笔申诉最初均被平台拒绝。警方出具的处警回执显示，相关情况仍在进一步调查。

美团金融客服称，后台记录显示，相关订单由用户本机登录会话发起。客服推测用户此前点击异常链接，手机黑屏后遭到远程操控，美团App难以识别手机系统中的木马行为。登录日志和完整后台记录则需要由司法机关调取。

目前尚无具体木马样本、手机取证结果或警方技术鉴定，是否属于同一种恶意程序仍无法确认。

被调用的是消费信贷额度

美团月付于2020年5月正式上线，用户可以在美团场景内使用信用额度消费、次月还款。美团目前没有单独披露月付的开通用户、活跃用户或交易规模。

月付在收银台中可以直接用于付款，但它调用的是消费信贷额度，不是银行卡资金或支付账户余额。

美团现行合同将相关场景消费信贷服务称为“美团生活费·买单”。合同没有说明“美团生活费·买单”与前端“美团月付”的完整对应关系，具体贷款人仍要看用户当笔账单和协议。

合同中使用的“重庆三快小贷”，当前正式名称为重庆美团三快小额贷款有限公司，下文简称美团小贷。

按照美团公开合同和支付协议所示的安排，用户下单后由平台生成订单和团购券，美团小贷或合作金融机构提供消费信贷服务，钱袋宝参与支付与扣款，商户完成券码核销，相应金额进入月付账单。不同用户、不同订单的实际贷款人可能并不相同。钱袋宝提供支付服务，并非贷款人。

钱袋宝现行授权扣款协议明确，美团月付额度可以与钱袋宝账户、绑定银行卡和美团卡等共同作为扣款渠道。用户首次选择的渠道还可能成为后续优先扣款渠道。

由于尚未取得涉案用户的专项合同和验证记录，每笔订单经过了什么额度审核、实际由谁提供资金，目前仍无法确认。

银行卡余额被盗，损失的是用户已有资金。月付额度遭异常调用，用户还会面对还款、费用、催收和信用信息争议。团购券能否退款要看平台交易规则，月付账单如何处理还要核对额度使用记录、身份验证和实际贷款合同。

真实手机被接管后，风控还能看到什么

传统账号盗用往往伴随陌生设备登录、异地IP、密码异常或设备指纹变化。

美团称，犯罪分子操控的是用户本人手机，设备、网络环境和登录状态与用户日常使用一致，平台风控难以仅凭传统设备信号识别。公开报道尚未附上警方统一的技术通报。

原设备操作会削弱新设备登录和账号异常等常用信号，公开订单仍然呈现出凌晨集中交易、数分钟连续下单、多笔金额低于免密上限、重复购买同类团购券，以及用户所在地与核销城市明显分离等情况。

500元以下免密支付放大了连续交易的后果。钱袋宝的小额免密服务允许在一定金额和次数范围内免除密码、短信动态码等验证，并保留调整额度、次数和拦截可疑交易的权利。

单笔限额约束了一次支付金额，却未必约束数分钟内连续多笔交易形成的累计损失。手机失去控制后，免密功能可能减少连续下单所需的验证步骤。

北京通州警方今年侦破的一批远控手机案件，已经涉及美团支付等场景，串并案件128起、涉案金额超过200万元。这些案例不能说明犯罪分子只盯上美团。美团月付案例集中出现，也可能与特定团伙采用固定手法有关。

在美团平台内，月付额度、免密支付和可以快速核销的团购券可以连续衔接。手机被控制后，犯罪分子可能通过购买团购券，将月付额度转换为可在异地核销的券码。

美团随后针对批量购买、券码转赠和高风险品类代付分别增加限制。这些调整表明，订单频次、商品属性和券码去向都可以用于风险识别。

贷款退出支付工具选项，不只是页面调整

美团官方对“极速支付”的介绍显示，这项服务无需输入密码即可一键下单并支付，支持余额、银行卡和美团月付等付款方式。钱袋宝授权扣款协议也将美团月付额度与支付账户、银行卡和美团卡共同列为扣款渠道。

这些渠道都可以完成付款，却对应不同的资金性质。余额来自用户已有资金，银行卡连接银行账户或信用卡，美团月付调用的是消费信贷额度。

《小额贷款公司监督管理暂行办法》已经生效。办法要求网络小贷公司建立风控模型、反欺诈系统以及风险识别和处置机制，同时禁止将贷款列为默认支付选项。

钱袋宝协议写明，用户首次选择的扣款渠道可能成为后续优先渠道，具体额度和次数以页面展示及风控要求为准。不过，“后续优先渠道”是否等同于监管规则所说的“默认支付选项”，还要结合用户实际选择过程、页面展示和扣款记录判断。现有公开材料无法还原涉案用户当时的具体设置。

2026年9月30日，《金融产品网络营销管理办法》将正式实施。届时，钱袋宝等非银行支付机构不得再把贷款、资产管理产品列入支付工具选项，也不得为这类金融产品提供营销服务。

月付额度今后还能否继续与余额、银行卡并列出现在支付选项中，取决于相关页面和扣款服务由哪个主体提供。若仍由钱袋宝提供，现有展示和扣款方式需要按照新规调整。美团目前尚未公布具体方案，而本次事件发生在办法实施前，不能用这项新规追溯认定相关主体已经违规。

消费信贷与普通支付分开后，用户将更容易看清资金性质、实际贷款人和还款后果。

手机中了木马，责任还没有结束

传播恶意程序、控制手机并盗用额度的犯罪分子承担首要责任，用户点击不明链接或开放高风险权限也可能存在过错。

即使用户端存在过错，美团平台掌握的订单和券码记录、钱袋宝掌握的支付数据，以及贷款机构掌握的额度和账单信息，仍需分别核查。

美团平台首先掌握订单时间、购买频次、商品类别、券码转赠和核销地点。事件发生后，美团增加批量购买验证、限制转赠，并下线部分高风险品类代付。这些措施表明，订单频次、商品属性和券码流向都可以用于风控。用户报告异常后，未核销券码能否立即冻结，已经核销的券码能否继续追踪，直接影响后续损失处理。

今年3月，美团App曾因自动缓存清理与第三方SDK冲突，异常删除部分安卓用户的图片和视频，引起广泛关注。不过，该事件与本次远控盗刷没有已证实的技术联系。

钱袋宝则掌握支付指令、免密设置、付款渠道和交易风控记录。连续小额交易是否触发额外验证，用户报告盗刷后是否及时阻断后续支付，直接关系到损失是否继续扩大。

《电子商务法》第五十七条规定，电子支付服务提供者发现支付指令未经授权，或者收到用户关于未经授权支付的通知后，应立即采取措施防止损失扩大；未及时采取措施造成损失扩大的，对扩大部分承担责任。该条处理的是支付服务责任，不能直接决定信贷账单是否有效。

账单形成后，美团小贷及实际贷款机构掌握额度使用、身份验证、专项合同和账单数据。用户否认交易后，争议账单是否暂停计息、催收和不利信用信息处理，公开信息尚未披露。账单最终是撤销、调整还是维持，要看当笔合同、验证记录和调查结果。

券码已经核销，只能证明商品权益已经被使用，无法单独证明下单、额度使用和支付均获得用户真实授权。

手机和账号都没有更换，实际操作者却可能已经变化。支付成功，不能替代消费者对消费和信贷额度使用作出的真实选择。

这里是支付之家。我们关注支付表象之下的规则差异与逻辑变化，提供支付科技领域增量信息。观点内容仅供参考。