今天刷微博，看到“支付宝 假APP”这个话题挂在热搜上，热度一直没降。点进去一看，后背有点发凉——原来现在连支付宝这种国民级应用，都有了一模一样的“高仿号”，而且已经有人中招，碰一下钱就没了。
这真不是开玩笑的事。赶紧写一篇，把我知道的情况捋清楚，文末也会给大家一个最简单的自保方法。
一、这个“假支付宝”到底是怎么骗人的？
先说结论：这次的骗局，绕开了支付宝最引以为傲的风控系统，走的是线下NFC碰一碰的漏洞。
骗子的操作流程大概是这样的：
- 用假APP替换真支付宝。骗子会通过各种手段（比如共享屏幕、远程协助、线下借手机代付），让你手机里装上一个高仿的“支付宝”客户端，图标、界面、甚至打开后的首页推荐都1:1复刻。
- 利用NFC碰一碰功能。现在很多手机支持NFC，支付宝的“碰一下”支付很方便。但骗子制作的假APP里，把自己的收款二维码和NFC读取逻辑写死成“收取大额资金”模式。
- 碰一下等于授权。当你以为自己在正常付钱、用手机碰一下商家设备时，实际触发的是假APP里隐藏的“免密大额扣款”协议。不需要输密码，不需要人脸，钱就转走了。
最瘆人的地方在于：假APP会在你手机桌面上完全替代真支付宝。很多人平时不点开“设置”看应用详情，根本发现不了自己用的是个假货。
二、为什么这次骗局很难防？
很多人会觉得：“我只要不下载乱七八糟的APP就没事吧？”——恰恰相反，这次的受害者，大部分都是平时很小心的人。
几个关键点：
- 共享屏幕是重灾区。骗子打电话说“您有一笔退款需处理”或“快递丢失要赔偿”，让你打开屏幕共享，然后引导你“重新安装最新版支付宝”。实际上，在共享屏幕过程中，他看到的验证码、支付密码足够他操作一切，所谓的“安装包”只是一个幌子。真正的杀招，是在你手机的“无障碍模式”或“NFC服务”里种下了木马。
- 官方渠道下载也可能被覆盖。有网友反馈，自己明明是在应用商店更新的支付宝，后来却发现手机里存了一个“另一个支付宝”。其实那是因为在共享屏幕或远程协助时，骗子用你手机自带的“应用分身”或“双开空间”创建了一个独立环境，里面放了一个假支付宝。你打开的是假的那个，真的被藏起来了。
- 碰一下太顺滑，反而成了漏洞。支付宝官方一直宣传“碰一下不用打开APP”，但正因这种无感体验，用户对“碰一下”的心理戒备很低。骗子正是利用了这种惯性。
三、官方回应了，但这几点你得自己知道
支付宝官方已经紧急排查并下架了一批仿冒应用，也发了公告提醒用户不要通过不明链接下载APP。但说实话，指望官方一个一个去抓，永远慢一拍。你自己能做到的防范，比官方更及时：
- 看“应用详情页”的开发者名称。真支付宝的开发者为“支付宝（中国）网络技术有限公司”，假货通常是个人开发者或什么“XX网络科技工作室”。这一步能拦截90%的假APP。
- 查“证书”和“签名”。如果你知道怎么看APK签名，这是最准的。不会也没关系，打开支付宝点“我的-设置-关于”，看看版本号和官方最新版是否一致，不一致就是有鬼。
- 关掉不必要的NFC自动授权。在手机设置里，NFC支付默认绑定的是“钱包”或“支付宝”。请检查一下NFC默认应用，如果出现两个“支付宝”选项，立刻删除不是以官方开发者为名的那个。
- 绝对不要在共享屏幕时操作支付宝。不管对方自称客服、警察还是银保监会，让你开共享屏幕、远程协助的，100%是骗子。真正的官方客服不会让你看到他的屏幕，更不会要看你的屏幕。
- 小额免密支付能关就关。虽然麻烦一点，但每次输密码/人脸识别，能给你一个“确认”的思考时间。
四、我的真实看法：别骂支付宝，得骂这个生态
说实话，这个黑产盯上支付宝，恰恰说明支付宝是“国民钱包”。但我也要说句公道话——该加强的不止是支付宝，还有手机厂商的应用审核机制。
为什么很多人的手机能装进这种“套壳APP”？因为部分安卓手机支持“未知来源安装”，加上用户对“远程协助”权限的随意授予，给了骗子可乘之机。苹果iOS虽然封闭，但在“描述文件”和“企业签名”上也有被钻空子的先例。
作为普通用户，我们能做的是“默认不信任任何非官方渠道下载的支付类APP”，你能下载到假支付宝的唯一途径，绝不是应用商店，而是你自己点开了某个链接。
五、最后的最后，给你一个保命锦囊
现在，立刻，马上，花30秒做一个动作：
打开你的手机设置 → 应用管理 → 找到支付宝 → 看“开发者”或“签名证书”一栏。如果是“支付宝（中国）网络技术有限公司”，恭喜你，安全；如果显示的是其他名字，冻结银行卡、修改支付密码、关掉小额免密，然后去官方渠道下载真APP。
另外，如果你家里人平时不太懂手机，尤其是长辈，把这篇文章转给他们看看。他们最容易成为“假APP”的受害者，因为骗子最喜欢挑“不太会检查应用详情”的人下手。
这次的微博热搜，希望不是一阵风。要是能让大家养成“装APP先看开发者”的习惯，那这次的热搜也算值了。钱的事，再小心都不为过。
记住一句话：让你碰一下钱就没的，不是支付宝，是那个长得像支付宝的高仿号。
保重，各位的余额。
微信扫码查看