3 月 14 日，直到银行卡提示被划走了 40087 元，26 岁的马琳才意识到自己被骗了。
2016 年 12 月 28 日，在北京工作的马琳在“小红书”上购买了洗面奶，“小红书客服”精确地报出了她在小红书的消费信息，这是她认为自己被骗的主要原因。
“尽管说泄露信息的渠道很多，但是这么大面积的小红书消费者被骗，只能说明是小红书造成的信息泄露。”马琳说，骗子掌握了小红书后台用户几乎所有信息，包括身份证信息，这些都是在小红书注册时必填的，“这说明小红书后台已没有保密性”。
而就在 3 月 13 日，西北民族大学研一学生李西（化名）接到“小红书客服”电话，在理赔过程中，李西根据“客服”指示，最终被骗 18100 元。
4 月 20 日，李西的遭遇被本报报道后，截至 5 月 31 日，先后有 50 名受骗者联系本报。她们的经历和遭遇极其相似，都是因为在小红书上有网购经历，最后都接到自称是“小红书客服”的电话，以购买商品存在质量问题退款为由被骗。据统计，50 人受骗总额为 879163.58 元。
让人不敢想象的是，除了这 50 名受骗者，可能还有更多人受骗，还有更多人接到或者正在接到诈骗电话。
小红书用户信息大面积泄露
26 岁的郑叶收到了“小红书客服”发给她的通知书，通知书很正式，左上角还有一个小红书的标志。郑叶信以为真。
通知书说：“尊敬的用户，由于您近期在我们店铺购买的商品出现质量问题，现需全部退回，请通过我们合作第三方平台：招联好期贷、蚂蚁借呗、来分期，扫二维码进行接收赔付款，我们客服人员会及时跟您联系，给您造成不便深表歉意，感谢您的支持和信赖。”
通知书还称：“重要通知：因为退还款是第三方合作平台预先把店铺金额退还到您的支付宝余额上，您再进行还款，如果您收到款项不配合还款，导致还款通道关闭，您个人账户逾期，跟您的个人征信是关联的，您到时将被索赔双倍赔偿款，并支付相应的利息。”
据统计，这 50 名受骗者都是年轻女性，其中有 22 名大学生。受骗者年龄在 19 岁到 31 岁之间，平均年龄是 23 岁。她们在小红书上购买的产品基本上都是化妆品。
受骗时间分布在 3 月、4 月、5 月这 3 个月，其中 3 月受骗 16 人，4 月受骗 23 人，5 月受骗 11 人。受骗人数最多的是 3 月 27 日，有 6 人；4 月 17 日有 3 人受骗；4 月 19 日有 4 人受骗；就在 4 月 20 日本报刊发报道当天，还有 4 人被骗。
50 名受骗者受骗总金额为 879163.58 元，受骗 1 万元以下的有 25 人，受骗 1 万～2 万元的有 11 人，受骗 2 万～3 万元的有 4 人，受骗 3 万～4 万元的有 3 人，受骗 4 万～5 万元的有 4 人，5 万元以上的有 3 人。最多的一人被骗 9.13 万元。
从购买时间来看，2016 年 12 月和 2017 年 1 月各有 1 人被骗，有 13 人购买时间是在 2 月，有 23 人购买时间在 3 月，有 8 人购买时间在 4 月，有 4 人购买时间是在 5 月。
今年 5 月 18 日，26 岁的网友“木易”在小红书购买了沐浴乳和润肤露。6 天后，她接到“小红书客服”电话，最后被骗 4.3 万元。中国青年报·中青在线记者发现，从在小红书购买商品日期，到被骗日期的间隔时间来统计，最短的只有 6 天，多数时间间隔是一个月左右。
根据收货邮件地址，受骗者遍布全国 14 省份。其中广东有 9 人被骗，江苏有 7 人被骗，浙江有 6 人被骗，北京有 5 人受骗，武汉有 3 人受骗，沈阳、重庆、成都、合肥各有两人受骗。
马琳说，受骗者数量庞大。从最早的 3 月到现在，人数每天都在上升，这是源头出了问题，而不是小红书官方指出“用户自己的快递单乱扔”等原因那么简单。受骗者遍布全国各地，收货地址不同，基本排除了消费者泄露信息的可能性。
被利用的弱点
26 岁的郑叶在接电话时，发现对方可能是骗子，挂断电话。没想到，她还收到了“客服”的“威胁短信”：“女士，那我们就取消您的订单了，月底您就自行承单（短信原文——记者注）这个 3 万元的赔偿以及起诉信！”
蚂蚁金服安全管理部相关人士介绍，事实上，冒充客服进行诈骗，如何给消费者“下套”，这些都是话术，专门针对消费者不同时期的心理，还会有专门的机构培训做话术。台湾专门有人卖话术，一套 7 万多元。
一位业内人士分析，这种诈骗之所以能够频频顺利得手，第一步就是受骗者的交易清单。“这些交易清单能够清楚地显示受骗者购物的时间和购买的物品，骗子一旦能够准确说出这些内容，受骗者一般很难会怀疑小红书客服的身份。”
中国青年报·中青在线记者发现，此次 50 名受骗者受骗一共涉及 21 个网络理财平台，每个人受骗可能会涉及多个平台，这些平台琳琅满目。
据统计，通过“来分期”有 20 人受骗，通过“招联好期贷”有 15 人受骗，通过“蚂蚁借呗”有 14 人受骗，有 8 人通过“支付宝转账”被骗，有 10 人通过“安逸花”被骗，通过“马上金融”有 6 人受骗，“微信转账”和“亲密付”各有 4 人受骗，“华夏基金”有 3 人受骗，微信财付通有两人受骗，另外网商银行、中银快付、徽商银行的徽常有财理财平台、趣店、现金巴士、微信微粒贷、翼支付、甜橙理财、富国基金、沃百富各有 1 人受骗。
“这种骗贷手段是网络购物诈骗最新类型。”蚂蚁金服的一位工作人员介绍，“骗子主要利用老百姓对网购退款流程以及一些新的网络消费金融平台不熟悉的弱点。同时，还利用受骗者对芝麻信用分数似懂非懂，以提高信用分才能退款为名，一步步引诱受骗者上当。”
骗子口中的“招联好期贷”“蚂蚁借呗”“来分期”都是互联网金融借贷平台，均可通过支付宝进行个人消费借贷，无需担保、抵押。“即便受骗者自己没有钱，骗子也可以诱骗受骗者在这些平台上借贷进行诈骗。”
事实上，这些受骗者大多是信用记录良好（信用不好的人借不到钱），有稳定收入或家庭条件不错的年轻女性用户，有多年网购经历，金融机构对她们的个人授信实际上是对其信用的肯定。
有法律人士认为，此种诈骗手段已从骗取个人钱财升级为诈骗金融机构，其中，好期贷的钱源自招商银行，蚂蚁借呗的钱来自网商银行，均属于金融机构。此种诈骗属于以非法占有为目的，诈骗银行或者其他金融机构的贷款且数额较大，属于金融犯罪的一种。
小红书称未发现近期有批量账号敏感数据泄露现象
今年 3 月 29 日，27 岁的李女士在小红书购买了防晒霜，4 月 17 日接到“小红书客服”电话。
“客服”在支付宝上直接把她的订单号发给她，里面有她在苏州的详细收货地址、购买商品信息，甚至包含着她的小红书登录账号和密码。
对“客服”的身份确认无疑后，李女士被骗 3.8 万元。“除了我自己，谁会掌握我的账号和密码？”李女士至今疑惑不解。
4 月 21 日，小红书通过一家媒体回应称，公司了解情况后第一时间进行了内部验证与技术排查，并未发现近期有批量账号敏感数据泄露现象。
据介绍，小红书已经制订了一系列风险规则、安全验证方式和登录限制，以防范用户敏感信息在其他渠道泄露导致的相应风险。未来，小红书还将采取一些特别的措施，防止诈骗团伙冒充公司客服。
值得一提的是，在 50 名受骗者中，还有 16 人是在小红书采取“特别措施”之后被骗。
这家媒体还报道称，受理此案件的黄浦公安表示，该案件目前正在进一步侦查中。在网购的过程中，所有接触到用户信息的环节，从手机软件、网站、快递物流到顾客本身，都存在信息泄露的可能性。因此，警方建议消费者在网购时要多提高安全意识，如为不同的网站设置不同的密码、不以常用密码作为支付密码、及时销毁快递单据等。
游侠安全网创始人张百川分析说，小红书称没有发现“批量账号敏感数据泄露现象”。这就意味着排除了“扫号撞库”的可能性。
“撞库”和“扫号”都是黑客手段专用术语。跟它相关的，还有“拖库”。简单来说，拖库就是黑客用技术手段入侵一些安全防范不是很高的中小网站，取得大量用户注册名和密码数据，然后再把这些用户名及密码跟网络银行、支付宝、淘宝等有价值的网站进行匹配登录，这就是“撞库”。实际操作中，黑客往往是通过专门的“扫号”软件，批量验证账号密码是否有价值。
张百川认为，信息外露的途径有很多，只要是牵扯到输入的地方，都有可能产生输出。众多消费者集体信息泄露，随后遭遇诈骗，发生时间集中，基本排除数据传输和消费者自身信息泄露的可能。“如果是网购平台大批量出现问题，第一有可能是他们的系统有漏洞，遭到黑客攻击，窃取了用户信息；第二也有可能是内部人员非法兜售用户的个人信息。”
“每一个环节都有一大帮人做这件事情，是产业化的方式。”蚂蚁金服安全管理部相关负责人称，这些案子背后的黑色产业链非常复杂，可以从网上买到相关信息，然后会有专用的作案工具，包括手机、电脑、上网卡、银行卡，等等，专门有一个卡商回收涉案的卡券，通过发送二维码的形式销赃，最后通过其他平台把这些骗取的资金消掉。
谁该为消息泄露负责
李西的遭遇被报道后，也引起小红书的关注。4 月 21 日，上海一家媒体刊发报道《小红书爱心款助受骗学生渡难关》。文中提到，小红书客户服务部负责人胡先生称，小红书客服同事们了解到李西家在农村，家境不好，母亲去年因病住院，还有一个妹妹在读高三，这次受骗给她的家人带来了不小的经济压力。
“听完这位用户的故事，我们都想帮助她和家人渡过难关。因为骗子是打着小红书客服的名义诈骗，所以我也向李西道歉并取得了她的谅解。我们客服部的同事们还在内部发起了一次募捐，总共凑了 2.11 万元，在上海市公安部门确认受骗人账号后，这笔爱心捐款目前已经转到了李西的银行卡上。”胡先生说。
有律师认为，如果电商平台提供了保护措施，但还是被黑客入侵，这属于不可抗力，不用承担责任。如果因平台存在漏洞而导致信息泄露，那么平台就要负责。电商平台会获取个人信息，它们有保护个人信息的义务和责任。
现实中最尴尬的问题是，信息泄露后，往往很难判断是哪个环节出问题，对责任的界定和处罚不明确，从取证到用户的维权成本都很高。
如今，小红书把“皮球”推给了警方。
小红书相关部门负责人王先生告诉中国青年报·中青在线记者，相信警方可以调查清楚，找到盗取用户信息的幕后主使。
现实中，这些受骗者的维权并不顺利。受骗者孟浩报警时，警方就直接告诉她，这种案子不容易破案，尤其是全国各地发生，也不容易并案。警察还告诉她，有人被骗几千万元都找不回来。
一位受骗者给“小红书客服”打了电话，客服只是例行公事地问了情况，重点强调了他们绝对不会泄露个人隐私，也绝对不会给予任何赔偿。
“不是只有我一人发生这种情况，你去微博搜搜，大批量的用户信息被泄露，这和你们一点关系都没有？你们是否犯了‘侵害公民个人信息罪’？”受骗者在电话中有点发火。
对方质问：你有证据吗？这位受骗者无言以对。
“的确，我拿不出任何证据，既然无法举证，也只能任由自己的信息泄露。”这个受骗者说，可她还是迫切想知道，她在小红书的购物信息、电话、支付宝绑定的银行卡，到底是怎么泄露出去的？