109笔订单被盗刷背后，哈啰「幽灵订单」正在蔓延？

作者 | 豹变 高宇哲

广州齐女士的支付宝账户，自2026年7月25日到9月初，一个月多的时间里，累计产生了上百笔哈啰出行订单，实际损失达6551.34元。而扣款的账户，绑定的是她两年前就已注销的旧手机号。

齐女士的遭遇并非孤例。从云南的用户3年内被扣费近500单，到山东用户在从未到过的地区被扣款几十笔订单，类似的"幽灵订单"正在不断浮出水面。部分案件的特征高度一致，

更换手机号后，哈啰账户并未真正解绑，免密支付仍在继续，新号主在免密支付额度内的消费，悄悄从旧号主的钱包里划走。

据报道，有知情人士向《南方都市报》透露，哈啰已依托工信部官方数据源搭建自动化风控处置体系，对二次放号账户进行识别和解绑。但这次盗刷表明，这套系统目前尚未全方位响应。

1、"幽灵订单"

齐女士是广州的一名上班族。她平时一直使用哈啰出行App打车，并给当前手机号开通了支付宝免密支付，期间没有更换过手机号，也没有向任何人透露过密码。但从2026年7月25日起，她的支付宝账户开始陆续出现大量"哈啰车费支付"记录。经整理，异常扣款共109笔，金额从十几元到约199元不等，实际损失共6551.34元。

从她发出的扣款截图可见，最初扣款大多为小额订单。后续订单金额逐步增加，但都精准的控制在200元以内，部分订单甚至出现支付后迅速退款、随后继续支付的操作模式，似乎在试探免密支付的上限金额。而齐女士所设置的支付宝免密支付单笔限额恰好为200元。这也说明，盗刷行为并非偶发。

发现自己的账号被扣款后，齐女士联系了消费者投诉热线及哈啰平台。经哈啰、支付宝、电信三方确认后发现，产生订单的哈啰账户使用的是她两年前注销的一个旧手机号，但注销时并未取消免密支付，也没有注销哈啰账号。

对此，齐女士认为是平台漏洞导致的安全问题，要求退回全额。而哈啰客服表示，对于6551.34元损失，平台最多赔付200元，其余部分"需要等盗刷账号实名用户退款后"再处理，但该号码目前已是空号。她告诉《豹变》，目前正在准备互联网法院的起诉流程。

齐女士的经历并非个例。云南的某用户遭遇了另一个版本的"幽灵订单"。今年6月15日，该用户在小红书发帖称，对比了近三年的微信支付记录，发现哈啰出行以免密支付的方式被扣了500余笔非本人订单，按照微信支付流水统计扣款约1760元，均非本人使用。起初，哈啰仅认可其中的1100余元，是系统原因导致。该用户经过一个多月的投诉、举报、复议后，最终被退回全部损失。

类似案例还在持续涌现。有浙江的用户，在7月初突然收到扣费提醒，发现在没有打车的情况下，出现多个异地打车订单；也有山东消费者，因骑车未归还的扣费提醒，发现从7月到8月，有几十笔哈啰骑行订单，并且订单所在地为菏泽市成武县，而该消费者从未去过菏泽市。

2、被绕过的核验

一系列"幽灵订单"事件，将平台风控管理中的诸多问题推至台前。尽管背后的系统性成因难以定论，但仍有很多细节值得关注。

在齐女士遭遇的盗刷事件中，她在2024年注销的手机号，被二次放号后，新机主竟然通过手机验证便登录了齐女士的哈啰账号，并将账号实名替换为本人信息。

此后，齐女士曾用自己的微信点击哈啰小程序进行实测，她原本以为，手机号注销后，已经无法登录。然而在弹出验证码输入页面后，点击返回后竟跳过验证码，自动登录成功，并直接看到了盗刷订单。

这说明，非活跃用户在用新设备登录哈啰账号时，平台似乎并未进行二次身份校验，仅凭手机验证码即可直接登录。换言之，在平台系统中，手机号被等同于用户身份。

此外，哈啰账号的实名信息与支付宝的实名信息并不一致，平台依然进行了直接扣款。在大众认知中，平台对账号身份理应有核验义务，但从现有信息来看，在实名信息发生变更的情况下，平台并未对支付授权进行二次确认。

梳理下来，在哈啰平台中，手机号似乎成为用户身份的唯一识别凭证。当账号实名更换后，旧号的绑定关系并未被取消，只是新增了一条链路。当旧号被运营商二次放号给新用户后，新用户的订单自动同步到原账户，并触发原有账户的免密扣费。

可见，在登录验证与支付核验两个环节上，平台的风控管理似乎存在漏洞，缺少实名信息变更的二次确认机制。

此外，齐女士提供的截图还有另一个令人疑惑的细节。

截图显示，8月19日凌晨1时15分和1时35分，两笔订单前后相隔仅20分钟，起点均为广州黄埔区图书档案大楼，终点均为清远漂流，金额分别为192.9元和192.3元，车型均为独享六座车。

同一路线、相近时段内连续产生两笔近200元的大额订单，且均由同一个支付宝账户完成免密扣款。对于上述交易，平台也并未核验，而是直接进行扣款。尽管从公开信息中难以判断，相近时间内同一车辆出现多笔订单是否合理，但也可以看出，平台风控系统对于异常交易的识别不够严谨。

早在今年1月，国新办发布会披露，基础电信企业已在放号前批量焕新二次号码超2.5亿个，解绑互联网应用超10亿件次。官方App和小程序上线了"主动焕新"服务入口，支持解除与239款常用互联网应用的历史绑定。

此外，哈啰近年在消费者权益保护方面的表现持续承压。2026年7月，网经社发布的《2026上半年移动出行平台用户投诉榜》显示，哈啰出行入选投诉榜，投诉问题包括顺风车司机迟到超载、客服推诿，及"首汽与哈啰在订单自动扣费后互相踢皮球"等。

3、盈利困局与信任负债

尽管哈啰共享自行车的市占率在行业领先，但其出行主业，仍面临盈利难题。2021年4月，哈啰赴美IPO招股书中的数据显示，2018至2020年三年间，公司累计亏损超48亿元。截至2020年底，共享两轮业务贡献了91%的营收，在营收结构中占据绝对主导位置，但毛利率仅为6.7%。

这意味着，在覆盖车辆折旧、线下运维等成本后，业务可留下的毛利空间相当有限，难以为整体盈利带来实质贡献。

比较来看，美团和滴滴并未单独披露过骑行业务的盈亏。但在这两家的整体版图中，即便该业务亏损，它带来的流量也可以与外卖、酒旅、网约车等板块协同，本质上属于获客成本。而哈啰的整体营收过于依赖单车业务带来的现金流，至今尚未找到形成有效支撑的第二增长曲线。这也导致，缺乏生态协同的哈啰，每一笔亏损都增加着企业的财务压力。

此外，上市压力进一步加剧着焦虑。自2016年成立以来，哈啰已完成十余轮融资，投资方包括蚂蚁集团、复星集团、深创投等。2021年4月，哈啰曾向美国证监会递交招股书，计划在纳斯达克上市，但三个月后便撤回申请，IPO之旅戛然而止。

2025年3月，哈啰通过受让永安行股份实现控制权变更，控股股东变更为哈啰系上海哈茂，实际控制人变更为杨磊。这一行为，被市场解读为想要曲线上市。

为了向投资人证明具备可持续的高增长能力，哈啰开启了一系列业务扩张，却在用户体验端留下了诸多争议。社交平台上，有用户反馈，将哈啰单车放在停车点后，仍被收取调度费。与此同时，2026年以来，多家单车上调起步价。率先调价的哈啰，在全国多城的起步价上调至1.99元，逼近2元区间。对于短途用户来说，骑行成本大幅提高，被不少网友称为"单车刺客"。

焦虑之下的扩张，也将哈啰推向了监管的对立面。仅2026年一年，哈啰就因违规超量投放，在北京、天津、上海等多地被监管部门约谈或罚款。

在出行主业盈利困难、上市压力逼近的背景下，哈啰近年来将变现的希望越来越多地押注在金融业务上。旗下较具代表性的助贷产品"臻有钱"，上线6年累计撮合放款约1000亿元。截至今年9月，黑猫投诉平台上"臻有钱"的相关投诉已超1.5万条，涉及利息高、违规收费、暴力催收等多个问题。

与此同时，哈啰在资本市场也并不轻松。其通过控制A股上市公司永安行获得上市壳资源，但永安行的业绩同样不容乐观。2025年，永安行实现营收4.12亿元，同比下降10.10%，归母净利润亏损2.28亿元，亏损规模同比扩大233.19%。

在出行、金融、资本市场的多重压力下，原本最基础的账户安全保障却被忽略。对于哈啰这样一个拥有数亿用户、同时掌握着支付通道和金融业务的平台而言，它连接的不只是用户的位置和行程，还有用户的资金。一旦风控体系出现漏洞，账户大门便形同虚设，资金安全也就失去了应有的保障。