事情发生在四川资阳雁江区。2026年8月25日，经营超市的严先生夫妇迎来上门办理宽带升级的杨某。办业务时，她以系统升级为由拿走夫妻俩的手机操作，并称"宽带升级须人脸识别核验"。此后到9月5日，她又以宽带过户、系统更新、手续未完善为由四次上门，每次都要手机、都要刷脸。
9月5日，严先生的妻子对这些反复刷脸起了疑，查账才发现名下多出多笔陌生网贷，共计15.5万元，其中11.5万元已被转走，两人随即报警。警方查明，31岁的杨某是某运营商的外包服务人员，专门负责宽带升级业务。她上门后刻意避开通信业务页面，打开支付宝、抖音等平台的贷款入口，谎称办业务须人脸核验，诱导用户配合验证；贷款一到账立即转出，再删除手机里的申请和转账记录。全案查实受害者10人，涉案金额123.38万元，已追回80.16万元，杨某已被逮捕。
一、杨某面临的是数罪并罚
先看刑事这笔账。杨某谎称"宽带升级须人脸识别核验"，诱导用户在不知情中完成贷款验证，贷款到账即被转走——虚构事实、让人陷入错误认识、进而处分财产，《刑法》第266条的诈骗罪结构完全对得上。按最高人民法院、最高人民检察院《关于办理诈骗刑事案件具体应用法律若干问题的解释》（法释〔2011〕7号）第一条，诈骗财物价值五十万元以上即属"数额特别巨大"，处十年以上有期徒刑或者无期徒刑。本案查实涉案金额123.38万元，已明显越过这条线。
缓刑也保不住了。杨某此前因诈骗他人13万余元，被法院判处有期徒刑三年、缓刑五年，这次作案就发生在缓刑考验期内。《刑法》第77条规定，被宣告缓刑的犯罪分子在考验期限内犯新罪的，应当撤销缓刑，对新罪作出判决，把前罪和后罪所判处的刑罚依照数罪并罚的原则决定执行。落到她身上：原判三年收监执行，新罪依法另判，两罪并罚。
另有一条罪名要看情况。杨某在作案中经手了用户的人脸、身份证等敏感信息，如果她将这些信息留存、出售或者提供给他人，情节严重的，依《刑法》第253条之一构成侵犯公民个人信息罪，与诈骗罪并罚。人民法院案例库收录的"李某旗、韦某等侵犯公民个人信息案"（(2022)苏0682刑初349号，入库编号2026-04-1-207-002）确认了规则：人脸等生物识别信息属于公民个人信息，利用非法获取的他人照片制作动态验证视频，情节严重的，以侵犯公民个人信息罪论处。
二、运营商赔不赔，关键看两点
杨某个人的赔付能力有限，钱已被大笔转走，受害者能不能向运营商索赔，才是真正要紧的问题。
第一点，杨某的骗贷行为能否算作"执行工作任务"。《民法典》第1191条规定，用人单位的工作人员因执行工作任务造成他人损害的，由用人单位承担侵权责任；用人单位承担责任后，可以向有故意或者重大过失的工作人员追偿。运营商大概率会抗辩：杨某只是外包人员，骗贷纯属个人犯罪，与公司无关。这个抗辩有两个漏洞。其一，最高人民法院《关于适用〈中华人民共和国民法典〉侵权责任编的解释（一）》（法释〔2024〕12号）第15条明确，与用人单位形成劳动关系的工作人员、执行用人单位工作任务的其他人员，因执行工作任务造成他人损害的，都适用第1191条——"外包"两个字挡不住这条规定。其二，判断行为与职务是否相关，看它有没有利用职务形成的外观和便利。杨某的上门资格、工作身份、用户的信任，都来自运营商的业务安排；骗贷是犯罪，但寄生在这份职务之中。
第二点，运营商自身有没有过错。上述解释第17条规定得直白：工作人员在执行工作任务中实施的违法行为构成犯罪的，工作人员承担刑事责任不影响用人单位依法承担民事责任。刑事退赔与单位民事赔偿是两条并行线，运营商不能用"找杨某退赔"把用户挡在门外。
人民法院案例库里有一个高度相似的判例——"胡某、魏某、聂某、刘某与某银行支行委托合同纠纷案"（人民法院案例库入库编号2023-16-2-119-002）。银行职员利用职务身份和单位公章骗取储户资金，本人因诈骗获刑，法院认定：行为人利用自己的身份实施犯罪，所在单位有明显过错的，应当承担赔偿责任；被害人未尽合理注意义务的，也应承担相应责任。最终银行按八成比例赔偿储户损失。参照这个判例，运营商要过这几道关：对有诈骗前科的缓刑人员杨某，背景审查做了没有；上门服务的流程管控有没有；刷脸环节的场景管理跟没跟上。预期也要摆正：单位不会替员工的犯罪全额买单，但管理漏洞给犯罪提供了便利，就要按过错比例承担责任。
《个人信息保护法》还提供了一条并行路径。用户的人脸、身份信息，是在运营商安排的服务流程中被获取、被滥用的；第28条明确人脸信息属于敏感个人信息，第13条、第17条要求处理个人信息必须取得个人同意、履行告知义务。运营商若在人员选任、培训监督、权限管理上失守，依第69条承担过错推定责任——处理个人信息侵害个人信息权益造成损害，处理者不能证明自己没有过错的，应当承担损害赔偿责任。
表见代理顺带说清：《民法典》第172条针对的是杨某借职务外观、以运营商名义与用户发生收费签单等往来的情形，行为后果可归属于运营商；本案骗贷损失更直接的请求权基础，还是第1191条和个人信息侵权规则，两条路径不要混着用。
三、被冒名的网贷要不要还
被冒名订立的贷款合同欠缺本人真实的意思表示，被冒名者可以主张它对自己不发生效力。但"合同与我无关"不能只靠嘴说：第一时间报警，凭受案回执和立案材料向贷款平台书面申诉，要求冻结争议交易、撤销放款记录，并盯住个人征信报告。放着不管，逾期记录照样上征信，将来要贷款买房才知道麻烦。
四、上门服务的自保要点
核验身份再开门。打运营商官方客服核实工单，人员、时间、事项对得上才让进门。
手机不脱手。宽带、电视类业务没有任何环节需要把手机交给对方操作；验证码和支付密码，对任何上门人员都是禁区。
无关的刷脸一律拒绝。贷款平台的人脸验证和宽带升级毫无关系，凡是与所办业务无关的刷脸要求，直接说不。
办完就自查。定期在人民银行征信中心查询个人信用报告，翻看各支付平台账单。严先生夫妇若不是妻子多了个心眼，这个窟窿只会越捅越大。
异常即报警。发现陌生贷款立即报警，凭受案材料向平台申诉争议交易，处置越早，追回的可能性越大。
这起案件里，受害者多是小超市、小诊所、小餐馆的经营者。骗子的手法不新鲜，新鲜的是"正规上门服务"这层皮。把上面几条变成习惯，比事后打官司省力得多。
关注我，学会用法律的思维看世界。