今天给父母充值话费,顺便看了这个月账单,发现有 50 元 订购业务 扣费. 打 10086 得知,这是第三方订购,也就是帮他们卖业务的人订购出去的.

授权方式是发送验证码给用户,用户反馈验证码,码符合就订购成功. 我特意问了是谁发送验证码,客服不知道,但是他说验证码是由 10086+随机数字 的号码发过来的. 我姑且认为验证码是由移动发送,并由移动鉴权.否则如果第三方自己搞,那么等于没搞.

然后我就琢磨应该是这个套路: 用户在某网站或某 APP 注册账户,或者类似'扫码阅读文章'之类需要告知手机号的操作. 对方说,你要用手机号接受一个验证码.与此同时他把你的手机号填到了移动的 API 里. 你没看短息内容,不知道短信是订购移动业务,脑子里默认是注册网站的验证码,就把验证码给对方了. 对方再把验证码填入移动的 API,完成订购. 然后你不知不觉每个月就被扣这几十元. 这 JS 要是胃口小一点,比如扣个 5 元,我可能还发现不了.

那么这就引申出几个讨论点:
1.手机自带的'自动填入验证码'功能太可怕了,老人用顺手以后,哪里还会点进短信,直接就一键填空了.
2.某些 ROM 是否给了 APP 删除短信 的功能? 因为我翻看了订购日期及前后几天的短信记录, 什么短信都在, 唯独这订购短信消失无踪.
3.经常有超市啊商店啊门口抓老人,说什么注册就送酱油送味精.然后老人怕麻烦,直接把手机交给对方操作.
4. 这次是移动,下次如果是银行/钱包的验证码呢? 这种钱可就损失大了
5.顺带吐槽,移动在你退业务的时候,会让你回复短信确认.但他要你确认的内容是:"您即将退订 A 业务,并同时办理 B 业务的体验包." 也就是你必须接受一个新业务才能把旧业务退掉,谁说体验包不收费,但是你下个月忘了退订呢?
6.注销手机号 注销宽带 要去营业厅柜台,还得是本地柜台,到了柜台还得扫脸. 订购业务却不要去柜台,也不要扫脸,甚至都不要电话确认,直接一个验证码就完事了.这妥妥的双标啊