我朋友遇到新式骗局，不问密码不问验证码，只让他说一句“不是本人操作”，10分钟账户被清空

本文存在虚构情节，如有雷同纯属巧合。

那天晚上十点四十，我朋友坐在我家餐桌对面，手机开着免提。一个很温和的男声说：“先生，您只需要跟着我说一句，不是本人操作。说完我们就能帮您拦截这笔异常交易。”我朋友看了我一眼。我点了下头。现在回想，那个点头是我这几年最后悔的动作之一。

十分钟后，他账户里的钱，没了。

不是一笔。是清空。活期、零钱、理财赎回后的钱、绑定卡里的余额，分批走掉。短信一条接一条弹出来，像有人在屋里快速翻抽屉。我们两个人坐在灯下，谁都没说话。我手心全是汗。我直冒冷汗，不是因为金额多大，是因为那句“不是本人操作”是我亲耳听他说的。我也觉得没问题。

我朋友叫阿哲，三十四岁，在鹤临市青梧区一家小公司做采购。他是我认识的人里最不贪便宜的那类。路边扫码送杯子，他不扫。陌生链接，他不点。验证码，他连亲妈都不给。我们以前吃饭，他还会笑我，说手机里装那么多支付工具，迟早出事。他的手机桌面干净，通知权限关得严，连外卖软件都只留一个。按理说，骗子最不该找上他。

可骗子偏偏找上他。

那天他来我家，是因为他车送去修了，顺路蹭饭。我们吃完，他坐在餐桌边回工作消息。电话响的时候，他看了一眼，是个本地号码。他接了。对面自称是“岚付”平台的风控客服，说他名下账户在异地登录，有一笔两千多元的订单正在支付，问是不是本人操作。

阿哲说不是。

对方说，那就好，我们帮您拦截。但需要您配合做一次本人语音确认，证明刚才不是您本人操作。阿哲问，为什么要语音确认。对方说，因为系统检测到登录设备异常，普通短信验证有风险，语音确认更安全。对方还说，我们不会问您密码，也不会问您验证码，您放心。

这句话很关键。

我以前也觉得，不问密码、不问验证码，就是安全的。骗子要钱，总得拿到这两样吧。可那天对方确实没问。他只是一直强调，我们不需要密码，不需要验证码，您只要说一句“不是本人操作”，我们后台就能提交拦截。

阿哲开了免提。我在旁边听。对方的声音很平，背景有键盘声，像真的客服中心。他还报出了阿哲的姓名、手机号后四位、账户尾号、最近一笔消费的商户类型。阿哲的表情从怀疑变成犹豫。他看我，我用口型说，应该没事吧。那是我基于旧常识做出的判断。我以为，只要不涉及密码和验证码，就还在安全线内。

对方说：“先生，您跟我读一遍就行，不是本人操作。”

阿哲说：“不是本人操作。”

对方说：“好的，已为您提交。请您保持手机畅通，稍后会有短信通知。打扰您了。”

电话挂了。

前后不到三分钟。

我们继续吃饭后的闲聊。阿哲还说，现在客服挺正规。我说是啊，至少没要验证码。说完这句话，他手机震了一下。第一条短信来了。不是验证码，是扣款通知。金额 4999。紧接着第二条，1999。第三条，899。第四条，赎回理财 12000。第五条，转账 5000。短信像下雨一样。阿哲脸色变了。他点开账户，余额已经不对。他手指在屏幕上滑，越滑越快。我凑过去看，活期没了，零钱没了，理财在赎回，绑定卡里的钱正在往外走。

他说：“怎么回事？”

我说：“快挂失。”

他打客服电话，占线。再打，还是占线。我们换手机登录，发现他的账号在新设备上被登录，绑定手机号好像也被改过。他想改密码，系统提示需要原设备验证。可原设备就是他手里这台。我们两个人在客厅里转，像找不到出口。十分钟不到，账户里的钱，被清空了。不是全部家当，但也是他攒了很久的一笔。里面有准备换车的钱，有给父母留的应急钱，还有他上个月刚发的工资。

后来我们报警，去派出所做笔录。警察问得很细，问有没有给验证码，有没有点链接，有没有共享屏幕。阿哲说没有。警察沉默了一下，说最近这种案子多，骗子不直接要密码，要的是别的东西。我问，要什么。警察说，声音，授权，确认语句，都有可能。具体要等平台和银行流水。

那天晚上从派出所出来，已经凌晨两点。鹤临市青梧区的主路很空。阿哲蹲在路边，抽了一根烟。他平时不抽烟。他说，我是不是很蠢。我说不是。他说，我连验证码都没给。我说我知道。他说，那为什么还是没了。我答不上来。

我也答不上来。

因为我以前写东西，总爱总结一些安全常识。不点陌生链接，不给验证码，不共享屏幕，不装陌生软件。这四条我背得很熟，也劝过很多人。可那天之后，我发现这些常识像一张旧地图。路已经改了，地图还在。骗子不问密码，不问验证码，甚至不让你转账。他只要你说一句看起来毫无风险的话。那句话被他录下来，放进另一个流程里，就成了钥匙。

我后来托朋友问了一个做风控的人。他不在大平台，在一个很小的技术服务公司。他跟我说，这类骗局的核心不是“骗你转账”，而是“骗你完成身份验证”。很多平台的语音客服、语音验证、声纹登录，原本是为了方便。比如你打电话过去，系统识别你的声纹，确认是本人。或者人工客服听到你亲口说出某句话，就认为操作来自本人。骗子前面已经通过别的渠道拿到了你的账号、身份信息，甚至登录权限。他缺的只是最后一道本人确认。那道确认，可能不是密码，不是验证码，而是你的声音。

他说，声纹和密码不一样。密码泄露了可以改。声音泄露了，你改不了。你不可能换一个嗓子。你也不可能永远不说话。更麻烦的是，很多平台把声纹当成便捷工具，默认开启，用户根本不知道。你接一个电话，说一句话，声音就被采走了。对方可以用这段录音去通过某些系统的验证，或者用技术拼接出更多语句。就算不能实时合成，只要系统只核对声纹，不核对内容，一句“不是本人操作”就够了。

我问他，为什么是“不是本人操作”？这句话有什么特别？

他说，特别在于它同时包含两个信息。第一，它足够长，能采集声纹。第二，它在客服流程里，可能被当成一种本人声明。比如有些系统会记录，用户本人来电表示某笔操作非本人所为。骗子拿到这个声明，反而能触发某些紧急流程，比如解绑、改绑、关闭安全验证、申请资金归集。不同平台逻辑不一样，但核心都一样，骗子把一句话从你的语境里抽出来，放进他的语境里。你说的是“不是我”，他听到的是“是我”。

我听完，背后发凉。

原来我们以为的安全，是“不说密码”。可现在的安全，可能还包括“不乱说话”。可人怎么可能不乱说话。你接电话要说话，你确认身份要说话，你拒绝也要说话。你说“不是”，对方也能用。你说“是”，对方也能用。你说“我没有”，对方也能用。声音本身成了密码，而这句话的内容，只是让你放松警惕的包装。

阿哲后来跟平台申诉了很多次。上传报警回执，上传通话记录，上传短信截图。平台说会核查。北屿银行那边也说会配合。可钱能不能回来，什么时候回来，没人给准话。他有一笔理财被赎回，损失了利息。还有一笔转账被拆成很多小笔，流向好几个账户。警察说，这种钱一旦进了多层账户，追起来很难。阿哲没说话。他只是把手机里的语音支付、声纹登录、免密支付全关了。能关的都关了。不能关的，他干脆注销。

他变得很沉默。

以前我们吃饭，他会聊工作，聊车，聊他想去雾溪路那边看房子。那之后，他很少聊钱。他也不再笑我手机里支付工具多。有一次我接到一个陌生电话，对方说我的账户有异常。我开了免提，阿哲在旁边猛地摆手。我直接挂了。挂完我们两个人都愣了一下。然后他说，现在听到“账户异常”四个字，我心跳就快。我说我也是。他说，明明被骗的是我，怎么你也像被吓出病。我说，因为那天我就在旁边。因为我也觉得那句话没问题。因为如果是我，我可能也会说。

这句话我后来想了很久。

如果是我，我会不会说？

很可能也会。骗子的话术并不粗糙。他知道我的名字，知道我最近买过什么，知道我的账户尾号。他说不需要密码，不需要验证码。他语气不急，甚至有点公事公办。他给我一个简单的动作，说一句话。那句话在生活里太常见了。快递丢了，客服问是不是本人签收，你说不是。银行问这笔消费是不是你，你说不是。有人用你信息注册账号，你说不是本人操作。我们每天都在否认，在澄清，在证明自己不是。骗子只是把“不是”变成了“是”。

这让我感到一种很深的无力。

我们被教育要保护密码，可密码可以改。我们被教育要保护验证码，可验证码一次性的。我们没被教育要保护声音、脸、指纹、语气、说话习惯。这些东西一旦交出去，就收不回来。更荒谬的是，很多平台为了便捷，正在鼓励我们交出这些。刷脸支付，声纹登录，语音客服，点头确认。我们为了少输几个数字，把生物信息一点点交出去。然后骗局来了，责任又被推回个人。你是不是说了那句话。你是不是没有警惕。你是不是贪。可阿哲不贪。他只是接了一个电话，说了一句不是。

那晚之后，我重新看自己手机里的设置。我发现很多权限我根本不知道什么时候开的。语音助手一直监听，某些支付工具默认开启声纹，某些银行 App 允许电话客服语音核验。我一个个关。关的时候，系统不断提示，关闭后可能影响便捷性。我点了确认。便捷性算什么。可我也知道，不是所有人都有时间一个个关。也不是所有平台都让你关。有些平台把语音验证藏在很深的地方，你找不到。有些平台客服会说，这是为了您的账户安全。可安全到底是谁的安全。

阿哲的钱后来追回了一部分，不多。平台垫付了一点，银行拦截了一笔还没转出的。剩下的，他说算了。他说，不想再耗了。每次打电话申诉，都像重新经历一次。他接受了自己倒霉。可我知道，他不是倒霉。他只是碰上了一套更新过的话术。骗子在进化，平台在打补丁，普通人在中间。我们永远慢半拍。

我也不是想写一篇防骗指南。说实话，我到现在也不知道最正确的做法是什么。挂断所有陌生电话？可有些真的客服会用陌生号码。关闭所有语音验证？可有些业务只能电话办理。不跟任何人说“不是本人操作”？可这句话本身没有错。问题不在那句话，问题在系统怎么理解那句话，骗子怎么利用那句话。

我能做的，只是把这件事写下来。写下来的时候，我反复听那天晚上的记忆。阿哲坐在我家餐桌对面，手机开着免提。男声说，您只需要跟着我说一句，不是本人操作。我点了下头。十分钟后，账户空了。我直冒冷汗。冷汗不是因为钱，是因为我发现，我们以为的防线，早就不是密码和验证码了。新的防线在哪里，我还没找到。

现在有人问我，遇到这种电话怎么办。我会说，先挂。不要跟着对方读任何句子。不要因为对方不要密码就放松。不要因为对方知道你的信息就相信。可我也知道，这些建议是事后说的。人在那个当下，很难。对方声音那么稳，流程那么顺，信息那么准。你只会觉得，说一句话而已。骗子要的就是这句话而已。

我把手机调成静音，坐在窗边。鹤临市的天快亮了。阿哲发来消息，说他把最后一张绑定卡也解绑了。我回他，好。他说，以后我是不是只能现金。我说，也不至于。他说，我现在听到“本人”两个字就烦。我没回。因为我也一样。

创作声明：本文存在虚构情节，如有雷同纯属巧合。