每月扣3元短信费，8万救命钱蒸发时一条没收到

2026年1月24日上午8时39分，湖北十堰郧西县，周先生的工行借记卡开始了一场他毫不知情的“大出血”。

银行流水显示，短短7分钟内，17笔“数字人民币兑出”密集发生，金额从99.9元到1999元不等，合计9093.9元。同期还有3笔“数字人民币消费”，每笔500元。次日凌晨0时37分，一笔47232.23元的“无卡支付”将卡内余额几乎清空，对方户名为“Moncler”，境外账户。

交易后，卡内余额仅剩3904.33元。

周先生的妻子患癌，这些钱是买药的救命钱。他的银行卡始终在身上，密码从未告诉任何人，手机没有丢失过，当天也没有进行任何操作。他说：“我从未开通数字人民币功能，也不认识这笔境外交易的收款方。”

更荒诞的是，他每月支付3元短信通知费，从未间断。但二十多笔交易，从第一笔到最后一笔，一条短信提醒都没有收到。

每月扣着的3元短信费，到底“保”了什么？

短信通知服务，是银行面向储户销售的安全产品。储户每月付费，银行提供账户变动实时提醒——这是白纸黑字的合同义务。

江苏省消保委2024年底的一项调查覆盖了工行在内的18家银行，结果触目惊心，大部分银行不会在自动续费日期前显著提示消费者，更有银行在自动扣除短信服务费时，连扣费短信都不发。

换句话说，3元短信费照扣不误，但关键时刻的预警功能形同虚设。

在周先生的案例中，7分钟内17笔数字人民币兑出，每一笔金额从99.9元到1999元不等——这是典型的“蚂蚁搬家”式异常交易特征。成熟的银行风控系统本应第一时间识别并拦截。但工行的风控机制全程沉默。

收费的服务不兑现，本该免费的“风控拦截”也不存在。储户付了钱，却什么安全保障都没得到。

银行自己都知道漏洞在哪

周先生事后查询数字人民币钱包管理截图，发现钱包开通日期正是盗刷当天——2026年1月24日，绑定手机号不是他的，实名信息却显示“证件已上传”。

一个陌生人，用周先生的身份信息，在他毫不知情的情况下，成功开通了数字人民币钱包，并完成了实名认证。这个钱包是怎么通过审核的？

答案，工行自己早就知道。

2025年6月，工行在官网公开披露：“当前黑产利用‘AI换脸’技术在数字人民币APP冒充开户事件频发。银行在开户流程中只能通过单张客户正面照片对客户进行风险冒开识别，风控难度较大。”

工行甚至声称自己开发了“AI图反诈”产品，投产后首月拦截了“数千个”AI换脸冒开数币钱包，识别准确率99.69%。

一个自称能拦截数千个冒开钱包的系统，为什么没能拦住周先生名下的这一个？

工行公开承认了技术漏洞的存在，却没有回答：既然知道漏洞在哪，为什么没有在漏洞被利用之前堵住它？技术能力存在，为什么没有转化为对每一位储户的切实保护？

监管的罚单，为什么总是“罚了不改”？

2026年5月11日，国家金融监督管理总局作出行政处罚决定：工商银行因“重要信息系统投产变更风险管控不到位、未按规定报告重要信息系统突发事件等”违法违规行为，被罚款105万元。

同一天，建行和交行也因同类问题被罚，三家国有大行合计被罚255万元。新华财经在报道中直言：监管部门正在“重拳整治数字金融底座‘带病运行’”。

“带病运行”——这个措辞精准而刺眼。

2026年5月，监管已经认定工行的重要信息系统“带病运行”。而周先生的盗刷发生在1月，那时系统问题已经存在，只是尚未被正式认定。

更早之前的2025年12月，工行就因违反账户管理规定、未按规定履行客户身份识别义务、未按规定报送大额交易报告或可疑交易报告等10项违法行为，被央行警告并罚没合计约4400万元。

账户管理混乱、身份识别缺失、可疑交易不报——这与周先生遭遇的“数字钱包被冒开、异常交易未被拦截”，指向的是同一个系统性问题：工行的风控与合规体系存在结构性缺陷。

然而，105万元的罚款对一家年利润数千亿的国有大行而言，几乎可以忽略不计。处罚没有倒逼整改，系统性问题依然存在，而代价——由最脆弱的储户承担。

“你去打官司吧”，碾碎一个家庭

周先生报警后，郧西县公安局刑侦大队立案侦查，并出具证明：“在涉案资金盗刷发生期间，受害人周先生未对其本人手机及名下银行卡进行任何转账、支付、授权或信息泄露等操作，涉案资金系被他人以非法手段盗刷所致，受害人对此无任何过错。”

手握公安的无责证明，周先生向开户行工商银行西安市互助路支行提出先行赔付。他的理由朴素而紧迫：妻子患癌等着钱买药，孩子等着钱上学。

工行的回应是：不行。

工行陕西分行负责人明确表示，公安机关出具的无过错证明“仅适用于刑事案件立案调查，不能直接作为民事赔偿的责任划分依据”，建议周先生通过诉讼解决。工行西安东大街支行出具的处理意见书则称，多笔交易“通过周先生手机号验证支付”，不属于赔付范围。

周先生说他从未收到任何短信验证码。手机号验证如何完成的，至今没有解释。

法律上，最高法的司法解释写得很清楚：借记卡网络盗刷，持卡人提供初步证据后，发卡行主张争议交易为持卡人本人交易的，应当承担举证责任。也就是说，工行如果认为这些交易是周先生本人操作，需要拿出证据来证明。但在周先生的案例中，工行没有选择主动举证、自证清白，而是把举证的门槛推给了法院。

工行不是不知道法律怎么规定。它是在赌——赌一个癌症患者家属耗不起诉讼的时间、精力和金钱。

一场储蓄存款合同纠纷的诉讼，从立案到一审判决通常需要三到六个月，若涉及数字人民币运营机构、银联等多方主体，周期可能更长。周先生的妻子在等药，孩子在等学费。这场官司他打得赢，但他等得起吗？

反观2026年9月的万事达卡境外批量盗刷事件，中国银行在确认盗刷后，迅速协调卡组织撤销交易、退回资金，持卡人无需还款。同样是盗刷，同样是国有大行，中行选择“先赔再查”，工行选择“你先去告”。差距不在技术能力，而在担当意愿。

银行的安全责任，不能转嫁给储户的维权能力

工行对这种系统性风险的应对，停留在官网上宣传“AI图反诈”产品的层面。产品确实在跑，首月拦截了数千个冒开钱包——但漏掉的那一个，对周先生来说就是全部。

一个国有大行，收了储户的短信费却不在关键时刻预警，自称能拦截AI换脸冒开却让一个打工者的钱包被冒名开通，被监管认定“重要信息系统带病运行”后仅被罚款105万元，面对公安无责证明时说“你去打官司”——每一个环节，都在把银行应尽的安全责任，转嫁给储户的维权能力。

金融安全的底线，不该由最没有能力承担风险的人来守护。一个农民工家庭的救命钱，不该成为银行风控漏洞的最终账单。

周先生的案件仍在侦查中，被盗资金去向不明，数字人民币钱包冒开的具体路径没有答案。他手里的公安无责证明，至今没有换来一分钱的赔付。

工行说，等他去法院。

可他的妻子，等不了。（作者：资本灰度）

Fintecdaily.com认为，工行借记卡在持卡人无操作情况下被密集数币兑出与境外无卡支付清空，短信通知费照扣却零预警，收费服务与风控拦截同时缺位。钱包当日冒开且绑定非本人手机号，银行已公开承认AI换脸冒开频发，拦截产品未能覆盖个案。公安无责证明不被采信为民事先行赔付依据，举证责任被推给诉讼，把时效成本转给急需资金的储户。账户管理与可疑交易报送曾被央行重罚，重要信息系统带病运行再被罚，罚单金额相对利润难形成足够整改压力。借记卡网络盗刷规则下发卡行应对本人交易承担举证责任，先赔后查与你去告体现的是责任态度差异。数币开户与异常兑出链路若不能在事中拦截，储户端维权会成为默认出口。系统漏洞已知而不闭环，代价会反复落在个案上。