结论：退费时出示证件号和手机号本身不一定会直接导致身份暴露并被他人利用做违法事情，但确实存在一定风险，需根据具体情况判断并采取相应防范措施。以下从不同角度详细分析：

1. 信息泄露的风险性

   • 证件号和手机号的敏感性：证件号（如身份证号）是个人身份的核心标识，手机号则常与多种账户绑定。两者结合，可能被不法分子用于身份冒用、注册非法账户、实施诈骗等。例如，不法分子可能利用泄露的证件号和手机号，通过“找回密码”功能侵入你的银行账户、社交媒体账号等。
   • 信息泄露的途径：风险主要来源于信息保管方的安全漏洞或内部人员违规操作。若退费流程涉及第三方平台或商家，其数据库若被黑客攻击，或员工私自出售客户信息，均可能导致你的证件号和手机号泄露。

2. 法律对信息保护的规定

   • 《个人信息保护法》的约束：根据《中华人民共和国个人信息保护法》，任何组织、个人不得非法收集、使用、加工、传输他人个人信息，不得非法买卖、提供或公开他人个人信息。若商家或平台因管理不善导致你的信息泄露，你可依法要求其承担民事责任，甚至向网信部门举报，追究其行政责任。
   • 刑事责任的触发：若不法分子利用泄露的信息实施诈骗、侵犯公民个人信息等犯罪，公安机关将依法追究其刑事责任。但需注意，信息泄露本身不直接构成犯罪，除非泄露行为达到“情节严重”标准（如泄露信息数量大、造成严重后果等）。

3. 如何降低风险

   • 谨慎提供信息：在退费时，可询问商家或平台是否必须提供证件号和手机号，若非必要，可拒绝提供或仅提供部分信息（如手机号后四位）。若必须提供，可要求对方明确信息用途、保管方式及泄露后的责任承担。
   • 加强信息保护：提供信息后，可定期修改重要账户密码，开启双重验证功能；关注手机短信、邮件等，及时发现异常登录或交易；若发现信息被滥用，立即向公安机关报案，并联系相关平台冻结账户。
   • 留存证据：在提供信息时，可要求商家或平台出具书面说明，明确信息用途及保管责任；若通过线上方式提供，可截图保存聊天记录或交易页面，以备后续维权。

4. 若信息已被利用的应对措施

   • 立即报警：若发现身份被冒用或资金被盗刷，第一时间向公安机关报案，提供泄露信息的证据及损失情况。
   • 联系相关平台：通知银行、支付平台等冻结账户，防止损失扩大；要求平台提供交易记录，协助警方调查。
   • 追究责任：若信息泄露源于商家或平台的过错，可依法向其索赔，包括直接损失（如资金损失）及间接损失（如为维权产生的费用）。

总结与建议：退费时出示证件号和手机号需谨慎，虽不必然导致违法利用，但风险客观存在。建议优先选择信誉良好的商家或平台，提供信息前明确其用途及保管责任，提供后加强信息保护，若发现异常立即采取措施。如有具体法律问题，可直接向我咨询，我将结合你的情况提供更详细的建议。