我关了你还能扣？女子关闭支付宝支付功能，深夜被捐184万，央行确认：公益捐赠通道未关闭。

2023年10月21日凌晨3时到7时，山西的兰女士正在睡梦中。她名下支付宝账户，却在4个小时内分6笔，向中国乡村发展基金会、贵州省慈善总会等机构捐出了近184.7万元。其中单笔最大金额184万元，捐给了“捐一元献爱心送营养活动”。

问题是两天前的10月19日，兰女士发现自己支付宝账户被他人挤下线，担心资金安全，她就联系支付宝客服，申请关闭了账户支付功能。

但两天后，其账户就发生了前面的情况。

兰女士找到央行上海分行举报相关情况，给出的答复是：

该账户支付功能自2023年10月19日关闭以来“未解除限制措施”。

支付宝在关闭支付功能后，消费、转账场景被锁定，公益捐赠场景却保留了付款功能，未及时告知兰女士。

同时确认：6笔交易中有5笔通过电脑设备验证支付密码完成，最关键的184万元捐赠正是此类交易。

而支付宝的回应耐人寻味。表示兰女士的账密是“自己透露出去的”，账户资金涉嫌“黑灰产”，并建议兰女士通过司法部门解决问题。

中国乡村发展基金会则称，184万元款项已用于公益项目并执行完毕，经与支付宝核查，“184万元捐赠是正常行为”。愿意在收到官方佐证材料后退还。

兰女士称这笔钱中有刷信用卡套出的周转金、亲戚朋友的借款以及帮朋友暂管的货款。184万不翼而飞后，她背负了沉重债务。

@法律有道

一、密码验证通过，意味着什么？

（一）密码验证通过＝用户授权？

在许多人的认知里，密码验证通过就等于“用户本人操作或授权操作”。但这是初步线索，不能绝对认定用户过错。

根据规定，未经授权的支付造成的损失，由电子支付服务提供者承担；电子支付服务提供者能够证明未经授权的支付是因用户的过错造成的，不承担责任。”

《电子商务法》立法逻辑是：支付机构比个人用户更有能力完善安全系统和防范风险。但在实际上，支付密码一旦被攻破，支付机构往往直接主张“验证通过=用户授权”，以此规避赔付责任。

（二）非授权支付的归责逻辑：

根据《民法典》第一千一百六十五条第一款，“行为人因过错侵害他人民事权益造成损害的，应当承担侵权责任”。

如果施害方能查明，理应由其承担全部赔偿责任。但网络支付犯罪者往往是匿名实体，追查到具体行为人的难度极高。因此，法律将首要责任配置给支付机构，支付机构先行赔付用户损失，再向施害方追偿。

本案中，央行上海分行明确指出支付宝公司存在“未及时向金融消费者披露服务特性”的问题，即未告知用户关闭支付功能后“公益捐赠”仍保留支付功能这一重要信息。这一“未披露”事实，为兰女士主张支付宝公司未尽安全保障义务提供了有力支持。

（三）支付宝的“公益捐赠例外”：设计缺陷还是合理约定？

支付宝在关闭支付功能后，对消费、转账等场景加以限制，却为公益捐赠“开了后门”。

消费者听从客服指引关闭全部支付功能，压根想不到“公益捐赠”仍可扣款。支付宝在产品设计上是否尽到了充分提示义务？答案恐怕是否定的。

《消费者权益保护法》第八条规定，消费者享有知悉其购买、使用的商品或者接受的服务的真实情况的权利。

支付宝未在醒目位置告知“关闭支付功能后公益捐赠功能仍然有效”，在涉及184万元巨额资金时也未作出任何“二次确认”或“人脸验证”等增强认证，这很可能构成未尽到充分提示义务的过错。

二、支付宝回应“账密自己透露”：

支付宝工作人员的回应，“账密是客户自己透露出去的，账户里的资金涉嫌黑灰产”。

这意味着兰女士面临两重举证困境：

一是需要证明自己未授权支付。

二是需要证明自己的密码并非因重大过失泄露。

三、民行刑三线：两条路不通，第三条路怎么走？

（一）报警立案难的现实困境

兰女士两次报警，均未获得立案。对于司法机关而言，在“支付密码验证通过”的情况下，判断是“盗刷”还是“授权支付”确实存在一定难度。

（二）公益机构退款的可能路径。

中国乡村发展基金会表示“愿意在收到完整官方佐证材料后进行核实”，意味着基金会方面并非完全拒绝退还，而是要求兰女士提供有力证明。

（三）民事诉讼是兰女士最现实的维权路径。

《电子商务法》第五十七条第二款将举证责任分配给了支付机构。如果支付宝无法证明兰女士“重大过失”与其资金损失之间存在直接因果关系，将需要承担先行赔付责任。

兰女士可以向有管辖权的法院提起合同违约之诉或侵权之诉，将支付宝公司列为被告，同时将中国乡村发展基金会列为第三人。

围绕支付宝公司未增强验证，凌晨不正常大额转账未发现风险，未尽到关闭公益捐赠功能提示义务等方面着手。