广州齐女士的支付宝账户，自 2026 年 7 月 25 日到 9 月初，一个月多的时间里，累计产生了上百笔哈啰出行订单，实际损失达 6551.34 元。而扣款的账户，绑定的是她两年前就已注销的旧手机号。

齐女士的遭遇并非孤例。从云南的用户 3 年内被扣费近 500 单，到山东用户在从未到过的地区被扣款几十笔订单，类似的 " 幽灵订单 " 正在不断浮出水面。部分案件的特征高度一致，

更换手机号后，哈啰账户并未真正解绑，免密支付仍在继续，新号主在免密支付额度内的消费，悄悄从旧号主的钱包里划走。

据报道，有知情人士向《南方 · 都市报》透露，哈啰已依托工信部官方数据源搭建自动化风控处置体系，对二次放号账户进行识别和解绑。但这次盗刷表明，这套系统目前尚未全方位响应。

" 幽灵订单 "

齐女士是广州的一名上班族。她平时一直使用哈啰出行 App 打车，并给当前手机号开通了支付宝免密支付，期间没有更换过手机号，也没有向任何人透露过密码。但从 2026 年 7 月 25 日起，她的支付宝账户开始陆续出现大量 " 哈啰车费支付 " 记录。经整理，异常扣款共 109 笔，金额从十几元到约 199 元不等，实际损失共 6551.34 元。

从她发出的扣款截图可见，最初扣款大多为小额订单。后续订单金额逐步增加，但都精准的控制在 200 元以内，部分订单甚至出现支付后迅速退款、随后继续支付的操作模式，似乎在试探免密支付的上限金额。而齐女士所设置的支付宝免密支付单笔限额恰好为 200 元。这也说明，盗刷行为并非偶发。

发现自己的账号被扣款后，齐女士联系了消费者投诉热线及哈啰平台。经哈啰、支付宝、电信三方确认后发现，产生订单的哈啰账户使用的是她两年前注销的一个旧手机号，但注销时并未取消免密支付，也没有注销哈啰账号。

对此，齐女士认为是平台漏洞导致的安全问题，要求退回全额。而哈啰客服表示，对于 6551.34 元损失，平台最多赔付 200 元，其余部分 " 需要等盗刷账号实名用户退款后 " 再处理，但该号码目前已是空号。她告诉《豹变》，目前正在准备互联网法院的起诉流程。

齐女士的经历并非个例。云南的某用户遭遇了另一个版本的 " 幽灵订单 "。今年 6 月 15 日，该用户在小红书发帖称，对比了近三年的微信支付记录，发现哈啰出行以免密支付的方式被扣了 500 余笔非本人订单，按照微信支付流水统计扣款约 1760 元，均非本人使用。起初，哈啰仅认可其中的 1100 余元，是系统原因导致。该用户经过一个多月的投诉、举报、复议后，最终被退回全部损失。

类似案例还在持续涌现。有浙江的用户，在 7 月初突然收到扣费提醒，发现在没有打车的情况下，出现多个异地打车订单；也有山东消费者，因骑车未归还的扣费提醒，发现从 7 月到 8 月，有几十笔哈啰骑行订单，并且订单所在地为菏泽市成武县，而该消费者从未去过菏泽市。

被绕过的核验

一系列 " 幽灵订单 " 事件，将平台风控管理中的诸多问题推至台前。尽管背后的系统性成因难以定论，但仍有很多细节值得关注。

在齐女士遭遇的盗刷事件中，她在 2024 年注销的手机号，被二次放号后，新机主竟然通过手机验证便登录了齐女士的哈啰账号，并将账号实名替换为本人信息。

此后，齐女士曾用自己的微信点击哈啰小程序进行实测，她原本以为，手机号注销后，已经无法登录。然而在弹出验证码输入页面后，点击返回后竟跳过验证码，自动登录成功，并直接看到了盗刷订单。

这说明，非活跃用户在用新设备登录哈啰账号时，平台似乎并未进行二次身份校验，仅凭手机验证码即可直接登录。换言之，在平台系统中，手机号被等同于用户身份。

此外，哈啰账号的实名信息与支付宝的实名信息并不一致，平台依然进行了直接扣款。在大众认知中，平台对账号身份理应有核验义务，但从现有信息来看，在实名信息发生变更的情况下，平台并未对支付授权进行二次确认。

梳理下来，在哈啰平台中，手机号似乎成为用户身份的唯一识别凭证。当账号实名更换后，旧号的绑定关系并未被取消，只是新增了一条链路。当旧号被运营商二次放号给新用户后，新用户的订单自动同步到原账户，并触发原有账户的免密扣费。

可见，在登录验证与支付核验两个环节上，平台的风控管理似乎存在漏洞，缺少实名信息变更的二次确认机制。

此外，齐女士提供的截图还有另一个令人疑惑的细节。

截图显示，8 月 19 日凌晨 1 时 15 分和 1 时 35 分，两笔订单前后相隔仅 20 分钟，起点均为广州黄埔区图书档案大楼，终点均为清远漂流，金额分别为 192.9 元和 192.3 元，车型均为独享六座车。

同一路线、相近时段内连续产生两笔近 200 元的大额订单，且均由同一个支付宝账户完成免密扣款。对于上述交易，平台也并未核验，而是直接进行扣款。尽管从公开信息中难以判断，相近时间内同一车辆出现多笔订单是否合理，但也可以看出，平台风控系统对于异常交易的识别不够严谨。

早在今年 1 月，国新办发布会披露，基础电信企业已在放号前批量焕新二次号码超 2.5 亿个，解绑互联网应用超 10 亿件次。官方 App 和小程序上线了 " 主动焕新 " 服务入口，支持解除与 239 款常用互联网应用的历史绑定。

此外，哈啰近年在消费者权益保护方面的表现持续承压。2026 年 7 月，网经社发布的《2026 上半年移动出行平台用户投诉榜》显示，哈啰出行入选投诉榜，投诉问题包括顺风车司机迟到超载、客服推诿，及 " 首汽与哈啰在订单自动扣费后互相踢皮球 " 等。

盈利困局与信任负债

尽管哈啰共享自行车的市占率在行业领先，但其出行主业，仍面临盈利难题。2021 年 4 月，哈啰赴美 IPO 招股书中的数据显示，2018 至 2020 年三年间，公司累计亏损超 48 亿元。截至 2020 年底，共享两轮业务贡献了 91% 的营收，在营收结构中占据绝对主导位置，但毛利率仅为 6.7%。

这意味着，在覆盖车辆折旧、线下运维等成本后，业务可留下的毛利空间相当有限，难以为整体盈利带来实质贡献。

比较来看，美团和滴滴并未单独披露过骑行业务的盈亏。但在这两家的整体版图中，即便该业务亏损，它带来的流量也可以与外卖、酒旅、网约车等板块协同，本质上属于获客成本。而哈啰的整体营收过于依赖单车业务带来的现金流，至今尚未找到形成有效支撑的第二增长曲线。这也导致，缺乏生态协同的哈啰，每一笔亏损都增加着企业的财务压力。

此外，上市压力进一步加剧着焦虑。自 2016 年成立以来，哈啰已完成十余轮融资，投资方包括蚂蚁集团、复星集团、深创投等。2021 年 4 月，哈啰曾向美国证监会递交招股书，计划在纳斯达克上市，但三个月后便撤回申请，IPO 之旅戛然而止。

2025 年 3 月，哈啰通过受让永安行股份实现控制权变更，控股股东变更为哈啰系上海哈茂，实际控制人变更为杨磊。这一行为，被市场解读为想要曲线上市。

为了向投资人证明具备可持续的高增长能力，哈啰开启了一系列业务扩张，却在用户体验端留下了诸多争议。社交平台上，有用户反馈，将哈啰单车放在停车点后，仍被收取调度费。与此同时，2026 年以来，多家单车上调起步价。率先调价的哈啰，在全国多城的起步价上调至 1.99 元，逼近 2 元区间。对于短途用户来说，骑行成本大幅提高，被不少网友称为 " 单车刺客 "。

焦虑之下的扩张，也将哈啰推向了监管的对立面。仅 2026 年一年，哈啰就因违规超量投放，在北京、天津、上海等多地被监管部门约谈或罚款。

在出行主业盈利困难、上市压力逼近的背景下，哈啰近年来将变现的希望越来越多地押注在金融业务上。旗下较具代表性的助贷产品 " 臻有钱 "，上线 6 年累计撮合放款约 1000 亿元。截至今年 9 月，黑猫投诉平台上 " 臻有钱 " 的相关投诉已超 1.5 万条，涉及利息高、违规收费、暴力催收等多个问题。

与此同时，哈啰在资本市场也并不轻松。其通过控制 A 股上市公司永安行获得上市壳资源，但永安行的业绩同样不容乐观。2025 年，永安行实现营收 4.12 亿元，同比下降 10.10%，归母净利润亏损 2.28 亿元，亏损规模同比扩大 233.19%。

在出行、金融、资本市场的多重压力下，原本最基础的账户安全保障却被忽略。对于哈啰这样一个拥有数亿用户、同时掌握着支付通道和金融业务的平台而言，它连接的不只是用户的位置和行程，还有用户的资金。一旦风控体系出现漏洞，账户大门便形同虚设，资金安全也就失去了应有的保障。

​