文｜贾维斯
《唐律疏议》里有一篇《诈伪律》，开宗明义八个字：“诸诈为制书者，皆斩。”制书是圣旨，伪造圣旨、哪怕只是在真圣旨上增减一个字，斩。用刑不可谓不重。
但唐代官府心里清楚，斩罪吓不住铤而走险的人。真正让假文书无处容身的，是另一套东西：勘合。明代文书制度把它做到了极致——两联文书在骑缝处写上编号，加盖官印，从中剖开，一半存衙门号簿，一半发往执行者。文书到了，先对号簿，再验骑缝，编号对不上、墨迹接不拢，任你印章刻得再像，红头文件做得再真，一验便知。防伪的第一性原理从来不是教收信人练眼力，而是让每一份真文书都有专属的核对路径。
之所以讲古，当然是为了说今，我想说的，其实是上个礼拜的假召回。
一条比剧本还工整的时间线
十一月四日，国家市场监督管理总局缺陷产品召回中心集中发布多起召回公告：大众系三家公司合计备案约六十一万辆（奥迪Q3 一款车型就占了三十八万八千辆），丰田系普拉多、雷克萨斯 GX550h、铂智 3X 和铂智 7 加起来十几万辆，再加上路特斯、Jeep、光束 MINI，单日合计超过八十万辆。十一月六日第二批接踵而至：奔驰十八万零三百辆、斯巴鲁十九万六千五百辆、奇瑞五万三千九百辆、保时捷一万八千三百辆。缺陷原因五花八门——转向机固定螺栓锈蚀、燃油管快接接头可能脱落、软件程序不完善，涉及软件、转向、燃油、零部件松动等好几类隐患。
而骗局的开场比公告还早。长沙警方披露的案情里，湘江新区的刘女士在十一月三日——真召回公告发布的前一天——就收到了一条彩信，附件是抬头“丰田汽车（中国）投资有限公司”的红头文件，盖着章，说她的车涉及高田气囊隐患，正实施强制召回，附二维码和“官网”网址。她点了进去，假客服给出三种“召回方案”，她选了最省事的“线上领取两千八百元更换费用”，随后被一步步引向下载聊天软件、提供收款码、以“银行卡异常需验证”为名转账，前后损失两万余元。
十一月五日到七日，车企声明密集出炉。大众中国、理想、宝马、奔驰、丰田、问界、比亚迪、上汽通用、沃尔沃——数下来九家。深圳反诈中心给这类骗局起了个名字，叫“诱捕式诈骗”：真召回是诱饵，假文件是网，捞的是车主的银行卡。
九家声明的话术几乎共用一副骨架：召回免费、不设时限、绝不索要银行卡号和验证码、真信息请上总局召回中心网站查。骨架统一到这个程度，公关部们多半是通过气的——这件事本身没什么可指摘，危难时刻统一口径是本分。真正扎眼的是骨架之外的沉默：九份声明，没有一份提到“我方已就车主数据流转开展自查”。全部止于“别信”，没有一个说“我查了”。
骗子是个好编辑
值得慢下来看一眼的，是骗子选剧本的眼光。
伪造文件为什么偏偏写“高田气囊”？因为这确实是汽车工业史上规模最大的真召回之一——从二〇〇八年拖了将近二十年，横跨全球几十个品牌，至今在北美还隔三差五有“不要驾驶”的紧急警告见诸报端。这是一个所有车主都半懂不懂、且确实“有新闻余温”的真事件。骗子不编造新事故，专挑记忆里有旧疤的地方下刀——受众半信半疑的瞬间，就是骗局生效的瞬间。
再看文件的工艺：冒用国家部委名义、统一赔偿金额两千八百元、逾期取消质保、两小时内办理——利诱、恐吓、催促，三把刀递到车主手里。央视中国之声采访的大理车主袁女士说，对方把她的车牌号写得明明白白，还附了盖章的“官方文件”，直到她去核对，才发现网址和官方差着几个字母。
但最锋利的一把刀，是车架号。
真正的问题：车架号是谁给的
骗子能精准报出你的姓名、车型、车牌号，甚至车架号后六位。这是所有案例里共同的、也是唯一超出“广撒网”的部分。
中国政法大学刑事司法学院教授李怀胜在接受中国之声采访时把法条摆得很清楚：能报出车架号级别的信息，说明信息已从某个环节泄露并用于精准诈骗，泄露行为本身涉嫌侵犯公民个人信息罪；若系车企、四S店、保险或平台内部人员利用职务便利泄露，入罪门槛减半、还要从重处罚；若是黑客入侵、撞库获取，另涉非法获取计算机信息系统数据罪。他同时承认了追责的难处：信息在黑产链条里多次转手，源头难锁定，因果关系证明困难，零散泄露往往够不上立案标准。
泄露可能发生在哪？中新经纬梳理过一遍：门店留存的车辆档案、车险投保平台、第三方汽车服务小程序、二手车交易平台、挪车公示号码，还有车主自己在社交平台晒行驶证、晒钥匙。每一个环节都可能漏，每一个环节也都可以说“不是我”。
一周过去了。九家车企发了声明，两个部门发了反诈提醒，若干位车主在社交平台上晒出了截图——但数据从哪个系统漏出去的，截至目前没有任何一方给出调查结论，也没有任何一方宣布自查。车主姓名、车牌、车架号在黑产市场上是有公开行情的（行情多少我不懂，不敢瞎写），但这批信息的批量、精准、跨品牌，不像零散的撞库捡漏，更像某个环节的整库外流。
这里有个结构性的错位：反诈提醒是发给车主的，可车主恰恰是这条链条上唯一没有防泄露能力的一环。警方教的三招——不点链接、不扫码、正规理赔绝不索要验证码——都是对的，都是事后止血。但止血药解决不了感染。信息精准不等于渠道正规，这是车主要懂的道理；信息能被批量精准获取，这是行业要还的账。前一句已经讲烂了，后一句还悬着。
三分钟自查清单（务必收好）
限于篇幅，把最有用的部分放在这里。收到“召回”信息，三步验真：
一看发件人。私人手机号、iMessage、“00”开头的境外号码，一律按假处理。正规召回通过官方热线、官方 App、授权经销商挂号信或电话通知。
二上官网查。国家市场监管总局缺陷产品召回技术中心官网（www.samrdprc.org.cn），输入你车前挡风玻璃下方的VIN 码，在不在召回范围，一查便知。别用短信里给的任何链接。
三记一句话。正规召回全程免费、不设时限、错过也能修，绝不会索要银行卡号、密码、验证码，更不会让你转账。“限时办理”、“逾期取消质保”、“统一赔偿两千八百元”，出现任何一句，直接拉黑，可拨九六一一〇举报。
回到勘合
《唐律》把伪造制书定为斩罪，明代用勘合让假文书无处核对——古人早就想明白，刑罚治人，制度治事。斩罪之下伪造圣旨的照样有，但骑缝编号之下，假文书递到衙门连门都进不去。
今天车主数据的流转，缺的就是那半张骑缝。数据在哪个环节、以什么口径、给了谁、存了多久、能不能对上号——这些问题一天没有答案，“诱捕式诈骗”就一天有原料可用。九家车企的声明统一了口径，却都绕开了自查；反诈提醒教车主防骗，却没有谁承诺把漏勺查清楚。
什么时候那半张契补上了，“诈为制书”才算真正进了死胡同。在这之前，骗子会比召回公告早一天知道你的车要修——就像刘女士在十一月三日就知道了一样。
