我到现在还记着那天早上表姐打电话来的声音，哑得像含着沙子。她说：“小芸，你姐夫那个卡里的钱，没了。”我当时还没彻底清醒，以为他们两口子又为存款的事闹别扭。后来我才知道，那是真的，一万八千块钱，就在她午睡那阵子，从一张平常根本不用的银行卡上，被转得干干净净。
那天傍晚她收到一条短信，内容我记得很清楚，因为后来警察让表姐抄下来做笔录。短信写着：“您正在登录云支付平台，本次登录验证码为482617，如非本人操作请勿向任何人泄露。”表姐看了一眼，压根没当回事，嘴里嘟囔着“现在骗子真多”，顺手就删了。她后来哭着说，要是当时能留着那条短信，或者动动手指给银行打个电话，那钱或许就不会没了。可我明白，这世上没有那么多或许。
表姐在城东一家超市收银，每天站八个小时，脚后跟磨出硬茧。姐夫在建筑工地上绑钢筋，风吹日晒，皮肤黑得像炭。那一万八是他们攒了半年，准备给儿子交下学期的学费用。表姐说，她午睡前还看了一眼手机银行的余额，数字乖乖躺在那儿，睡着了以后，手机就放在床头柜上，连个响动都没听见。
第二天早上，她去银行自助取款机取一百块钱买菜，屏幕上却显示余额不足。她以为机器坏了，又插了一次卡，还是不对。她蹲在取款机旁边，一遍遍拨打工行客服电话，手抖得插卡都插不准。最后客服告诉她，凌晨三点十七分，卡上的钱通过一家她从未注册过的支付平台分三笔转走了，每笔六千，最后一笔六千，刚好一万八。
我陪她去银行打流水，柜员是个年轻姑娘，戴着眼镜，一边看屏幕一边轻声叹气：“大姐，这笔交易是通过短信验证码完成的，您当时是不是收到过一条验证码短信？”表姐愣住了，想起来那条被她删掉的消息。她说：“可我没把验证码告诉谁啊，短信我自己都没看过第二眼，怎么会……”柜员摇摇头，说：“具体原因要问公安机关，但您要是当时保存下那条短信，或者马上打客服电话挂失，我们还能止付。”表姐的眼泪一下就涌了出来，她抓着柜台边缘，指节发白，嘴里反复说：“我哪知道啊，我哪知道啊。”
报警之后，反诈中心的民警调了三天的流水和登录日志，最后锁定了嫌疑人的操作轨迹。民警说，骗子手里早就掌握了表姐的姓名、身份证号、银行卡号，甚至还有她手机号的运营商服务密码，这些信息多半是以前在网上注册小平台或者点过什么链接时泄露的。骗子先通过“撞库”的方式登录了一家支付平台，想绑定表姐的银行卡，但平台要求短信验证码确认。于是他们点了“发送验证码”，那条482617的短信就到了表姐手机上。骗子当时最怕她看见，怕她起疑，可偏偏她当成垃圾短信删了。这一删，骗子就知道她没反应，胆量大了，连夜换了好几个技术手段，最后通过运营商的一个短信配合功能，愣是偷偷截到了验证码。
民警说到这儿，表姐红着眼睛问：“那我要是没删，他们是不是就没办法了？”民警沉默了一下，说：“至少不会那么快，而且那条短信是你唯一的预警信号。很多人处理失误，就是因为你这种，一看见验证码就当成骚扰短信删掉，或者回复‘退订’，甚至转发给朋友问一下。这些都是给骗子递刀子的动作。”他指着笔录上那串验证码说：“这玩意就是钱的钥匙。你收到不是自己验证码的时候，最该做的不是删，是马上想起来：我的银行卡、我的支付账户、我的手机号，是不是有风险？然后立刻打官方客服电话核实。”
那天做完笔录出来，我和表姐坐在派出所门口的台阶上，谁都没说话。太阳很毒，晒得水泥地发白。表姐从兜里掏出一个旧手机，屏幕已经摔裂了，她用拇指摩挲着那条被她删除的短信通知栏，好像那样能把它找回来。过了很久，她才哑着嗓子说：“我不怕丢钱，我怕的是孩子知道这事，觉得他爸他妈是傻子。”
其实表姐不是傻子，她平时在超市上班，也见过不少诈骗宣传单，但她总觉得那些事离自己很远。她手机上装了好几个反诈APP，可每次弹出来提醒，她都划掉不看。她说那东西“碍事”。谁也没想到，真正出事的时候，反诈APP连个屁都没放，倒是一条被她删掉的验证码短信，成了整件事的导火索。
民警说，最近半年他们接到好几种类似的报案，都是当事人收到莫名其妙的验证码短信。有个大叔收到短信后，觉得烦，回了一条“TD”想退订，结果那根本不是退订指令，而是开通了运营商的“短信保管业务”，骗子随后把他的短信全转移到了自己电脑上，后面的事就不用说了。还有个大姐，收到验证码后热心，拨打了短信里的联系电话，对方自称是银行工作人员，说是有人操作她的账户，需要她配合“核实”，大姐一害怕，把新收到的验证码念给了对方，卡里的两万块钱当场就飞走了。
说到这里我不得不提一句，反诈中心那条提醒是真的。他们总结的“三不一多”原则里，有一条就是“不核实清楚不转账”。很多人觉得“我没转账，我只是删了条短信”，这不算失误。可在骗子眼里，你收到验证码后毫无动作，就等于告诉他：这个号码的主人不设防，可以继续搞。反过来，如果你收到短信后第一时间登录网上银行查看余额，或者打给银行说“我没交易为什么发验证码”，骗子一旦发现目标警觉了，多半就换下一个了。
表姐后来去营业厅换卡，改掉了所有密码，还把银行卡和手机号解绑了。但事情并没有结束。那笔钱被转到境外账户，追回的可能性微乎其微。姐夫知道后，没有骂表姐，只是蹲在阳台抽了一整盒烟。晚上他跟表姐说：“让你别贪便宜买那捆八块钱的袜子，你不信。”表姐没吱声，她知道姐夫不是在说袜子。
过了几天，我去表姐家看她，她正拿着一张纸在写什么。走近一看，是她自己写的“以后收到短信要做的四件事”：第一，不删；第二，看清来源；第三，非本人操作马上打官方客服；第四，绝不向任何人透露验证码。字歪歪扭扭的，还用了红笔描了好几遍。她说要贴在冰箱门上，让儿子也看。她儿子刚上初二，蹲在客厅里写作业，听见这话抬头问：“妈，那验证码不是自己偷偷收的吗？怎么还会发给我？”表姐不知道怎么回答，眼圈又红了。
我想起小时候，表姐教我骑自行车，我摔了一跤，她一边给我擦眼泪一边说：“摔了不要紧，记住哪儿疼，下次绕开。”现在她自己也栽了个大跟头，疼得刻骨铭心。这跟头摔出来的道理，比那些安全宣传单管用多了。可管用归管用，代价太沉重了。一万八千块，对城里人可能不算什么，但对表姐一家来说，那要弯腰绑多少根钢筋、扫码收多少个塑料瓶才能攒回来。
民警后来还补充了一个细节。他说表姐收到的那条验证码，其实发送时间是在下午五点四十七分，距离她收到短信到删除，中间隔了不到两分钟。而骗子真正转账是在凌晨，中间隔了好几个小时。如果表姐看到短信后，哪怕只是在微信上问一句“这是谁发的”，或者打个电话给我，我都可能提醒她查一下账户。可她没问，她一个人默默地删了。那种“多一事不如少一事”的心态，恰恰是骗子最想要的。
这让我想起来我们小区的张阿姨，她去年也收到过一条验证码，内容是“您的账户正在申请办理数字证书，验证码为736912”。张阿姨当时在打麻将，顺手把手机递给牌友看：“你看看，这骗子连验证码都编出来了。”牌友说：“你赶紧删了，别理他。”张阿姨就删了。后来她手机里多了一个“云证通”的APP，账号里被开了好几笔小额免密支付的业务，虽然没损失大钱，但每个月莫名其妙被扣十几块钱，扣了半年才发现。她去找运营商，人家说：“你收到验证码的时候，就等于授权了。”张阿姨气得差点摔手机，可又能怪谁呢？她连短信内容都没看完就删了，那行小字里其实写着“如非本人操作，请立即注销该业务”。她压根没看。
现在很多平台为了用户体验，只要验证码一输，就默认你同意了一堆协议。骗子最喜欢利用这个规则。他们不需要你输入密码，只要你手机号收到的验证码被他们截获，他们就能在你毫不知情的情况下，用你的银行卡去办各种事。而你唯一能拦截他们的机会，就是那条明晃晃出现在屏幕上的验证码短信。它其实是系统给你发的最后一道警报。可多少人把警报当成噪音，一把按掉了。
我在写这篇文章的时候，表姐还专门给我打了个电话，让我一定要把她的教训写清楚。她说：“你告诉他们，收到验证码，别删，别删，别删。你看看短信上面是谁发的，是银行就查银行，是运营商就查运营商，是平台就查平台。实在不行就打110或者96110咨询。删掉是最没用的，你删了它，它就不存在了吗？该发生的事还是会发生的。”她说得有些激动，我听见电话那头姐夫轻声说：“好了好了，不说了。”
故事讲到这里，也许有人觉得我夸大其词，一条验证码短信哪有这么邪乎。可你去问问反诈中心的民警，他们手里那些案卷里，有多少人是从一条“莫名其妙”的验证码开始，一步步掉进窟窿的。那些人当初也和你一样，觉得自己聪明，觉得骗子离自己远，觉得一条垃圾短信而已。直到银行卡里的数字归零，才哭着说“早知道”。
我不知道该不该恨那些骗子。但我知道，很多骗子并不是神通广大的黑客，他们只是比你多了一点耐心，比你更懂得利用你的疏忽。他们像蹲在池塘边的钓手，等着你咬钩。而验证码短信，就是鱼漂。你把这根鱼漂拔了扔了，不等于鱼钩不存在了，只是你自己蒙上眼睛，让鱼线沉得更深。
最后说个身边的小事。上周末我去超市买菜，看见收银台旁边有个五十多岁的大叔，举着手机问店员：“你看看这个验证码是啥意思？我没操作怎么就发来了？”店员说：“不知道，您别管它。”大叔点点头，把手机揣回兜里。我站在他后面，忍不住开口说：“大叔，您回去还是打个电话问问银行吧，万一呢。”大叔回头看了我一眼，笑了笑，说：“也是，问问不花钱。”我不知道他最后有没有问，但至少他没用手指一划删掉。这就好。
