“车辆召回”诈骗短信集中爆发，你的车架号早被泄露了

这几天，不少车主收到一条让人很难不动摇的短信。

“您的车辆涉及高田气囊隐患，需紧急召回并发放理赔，2小时内办理，逾期取消质保。”发信的可能是私人手机号，可能是苹果 iMessage 的图片，也可能是“00”开头的境外来电。点进去，是一份盖着红章的《召回通知》，落款“宝马中国”、“华晨宝马”，或者某个监管部门的名义。

让人后背发凉的不是文件做得像，是信息全对：姓名、车牌号、车型，甚至17位车架号，分毫不差。有车主刚在4S店修完车就收到，对方连身份证照片都报得出来。

这还不是一家，是宝马、丰田、理想、大众等市场主流品牌“集中式爆发”。

11月5日起，理想、大众、宝马、丰田、广汽丰田、比亚迪、问界、奔驰、沃尔沃等品牌陆续辟谣：不存在短信所称的"气囊召回"，链接和文件都不是官方的，官方召回绝不会索要银行卡号、验证码，也不会要求转账或付款。公安部刑侦局、深圳反诈中心、12321受理中心和多地警方同步发了预警。

但辟谣能证明的，只是“这条通知是假的”。它解释不了另一件事：你的车架号，是怎么到骗子手里的。

骗子为什么偏偏挑“召回”

这场诈骗最“专业”的地方，不在钓鱼页面做得多像，在“选题”。

想一想我们平时收到的官方通知：违章、缴税、年检，基本都是“你该履行什么义务”。只有召回是反过来的。厂家主动找上门，说你的车有安全隐患，我们来负责。它天然带着三重情绪：关切、权威，还有一点点亏欠。

人接到这种消息，第一反应不是“是不是骗子”，而是“我的车怎么了”。防备从一开始就矮了半截。

话术选“高田气囊”，这是汽车史上规模最大的召回：全球过亿辆、几乎所有主流品牌都涉及，中国涉及37家车企、2000余万辆，从2008年首起事故算起分批召回了十几年，高田公司2017年破产之后余波都还没完全收尾。

换句话说，不管你开的是哪一年的哪个品牌的车，提“高田气囊”都不会觉得离谱。它不需要精准匹配车型，因为它本来就覆盖了几乎所有车型。有车主收到的版本换成了“车内摄像头驾驶员注意力监测”，也是同样的思路。

更巧的是时间点。今年已有数次大规模召回，8月427万辆新能源车因为车内应急机械拉手召回；11月4日，国家市场监管总局又一次性披露了8条召回信息，涉及大众、丰田、光束汽车等品牌、共81.59万辆汽车。这个时候正是车主对“召回”见怪不怪的时候。

真召回的新闻正在满天飞，假召回的短信同时进手机。骗子连“召回是可信的”这一步都不用自己铺垫，真公告替他铺好了。

深圳反诈中心把这类手法叫“诱捕式诈骗”：拿真实召回的外壳，套上非法获取的精准信息，筛出高可信度目标，再用钓鱼链接完成最后一击。名字取得准。它不是广撒网，是拿着名单钓鱼。

如何防范？拿制度当照妖镜

真召回公告本身也会用短信。很多车企在召回时，也会将通过短信、挂号信等方式通知相关车主。所以判伪的标准从来不是“收没收到短信”，而是短信里面的“话术”，和后面那串动作：有没有陌生链接和二维码。

拆穿它其实不难，因为正规的汽车召回里，几乎没有一样东西是诈骗话术里有的。

《缺陷汽车产品召回管理条例》写得很清楚：生产者承担消除缺陷的费用和必要的运输费。召回是免费修理、更换、退货，不是给车主发钱。所以，召回不等于理赔。只有当缺陷实际造成人身或财产损失时，才谈得上依法索赔；凡是打着“召回理赔”、“补偿到账”让你填银行卡的，方向就错了。

周期也对不上。一项召回通常持续数月至一年以上，厂家会多次通知；市场监管总局的《汽车召回 用户指南》甚至专门写明，即便错过了生产者计划的召回实施时间，只要在范围内，生产者仍有义务消除缺陷。 所以“逾期取消质保”、“2小时不办责任自负”，在制度上根本不成立。制度给了你充足的时间去核实，骗子是要你一秒都不能等。

渠道也有固定样子：车企官网、官方 App、车机推送、挂号信、4S店固定座机，或者市场监管总局缺陷产品召回技术中心的官网和微信公众号，输入17位VIN就能查自己的车在不在范围内。

至于后面几步，各地警方通报的个案里已经很清楚了：钓鱼页面收银行卡和验证码，“客服”抛出2800元、5800元“理赔金”作饵，再以“个人账户无法接收企业款项”、“需刷流水验证”为由，诱导下载会议软件、开启屏幕共享，验证码和密码就在对方眼皮底下。

有车主甚至被诱导着从多个网贷平台贷款转出。 更值得警惕的是，有骗子会主动提醒受害人下载“国家反诈中心”App来包装自己的官方身份。

说这些不是复盘手法，是想说明一件事：与其他的诈骗不同，在这条链路上让人放松警惕的不是贪念，是“他连我的车架号都知道”。在这个时间点上，信息精确到这样的程度，大部分人都可能会头脑短路。

所以，防范的方法其实也很简单，只要记住一条：收到类似短信后，不管内容说得多么紧急，先打当地4S店电话或车企的服务热线核实，而不是直接上手操作。

但该被追问的，是这些数据从哪来。

真正没解决的是数据链

如果骗子仅仅是群发一条没有任何车主真实信息的短信，相信中招的人一定会是少数。但，骗子恰恰是拿到了车主的真实信息。这才是这轮事件背后，最该反思的问题。

汽车大概是日常消费品里个人数据密度最高、链路最长的那一类：购车、上牌、保险、保养、维修、充电、二手车过户、车机账号、品牌App会员，每一个环节都要留一份，而且往往要求真实姓名、证件、车牌、VIN、手机号、常驻地址。

这几年行业最热衷讲的两个词是“直连用户”和“全生命周期运营”，数据越连越通，服务确实更顺了，可敞口也跟着越连越长。一个环节管控松了，就容易出现数据泄露的问题。

所以这轮诈骗真正暴露的，不是车主不懂反诈常识，而是汽车消费领域个人信息保护的短板：数据被收集得足够细、流转得足够广，却未必每一段都管得足够严。

截至目前，近十家车企在两三天里密集澄清，4S店也接到总部风险警示。效率是高的，态度也是对的。但没有车企能够对数据管控的问题做出回答。车企能澄清的边界，似乎只能停留在动用法务、客服和全国经销商网络去解释，这件事“不是我干的”。

一位业内人士的说法很直白：大家在很多地方都留过信息，不同系统之间关联匹配一下，很容易就能定位到具体的人，“有专门一些人可能是在做这方面的灰色产业”。被点到的可能路径，覆盖的是用车的全周期：4S店留存档案、车险投保资料、第三方汽车小程序注册信息、二手车平台车辆档案。

这已经能够说明：用户信息泄露，不是车企单方面的问题。车管所、保险公司、二手车市场……整个汽车全生命周期的信息管理，必然存在漏洞。

中国政法大学李怀胜教授的分析把性质说得很清楚：车牌号、车型、车架号、联系方式都属于公民个人信息，非法获取或提供达到司法解释标准即涉嫌侵犯公民个人信息罪；若通过黑客入侵、撞库取得，还可能构成非法获取计算机信息系统数据罪；下游诱导点链接、填验证码、开屏幕共享转走资金，已涉嫌诈骗罪，明知而提供信息者可能是共犯或帮信罪。如果是车企、4S店、保险或平台内部人员利用职务便利泄露，入罪门槛减半、还要从重。

但他也点出了现实难点：泄露源头难锁定，信息在黑产链条里多次转手，因果关系证明困难，零散泄露往往够不上立案标准，更多只能走民事和行政途径。

写在最后

这不是某一家车企的问题，也不该由某一家车企来背。它本来就是一条跨了车企、经销商、保险、平台和二手车的长链。

泄露的源头仍没有答案。辟谣能删掉一条假通知，删不掉这个缺口；声明发得再快，也只是把这一波话术挡在门外。下一波换个由头：保养、续保、违章、积分兑换……同一批数据还能再骗一次。

对整车企业来说，比发一份声明更有价值的，或许是借这一波把自家的数据链路捋一遍：谁在收、存在哪、谁能调、给过谁、留没留痕。行业习惯把数据讲成资产，现在资产“流失”了。应该思考一下，如何建立一套机制，堵住信息泄露的漏洞。