吴磊23万航空里程被盗真相！有身份证号就能操作？|凰家反骗局
凤凰网财经凰家反骗局出品 文|反骗大叔
还记得我们第26期凰家反骗局的报道吗，大叔在淘宝的购物信息被泄露，之后接到了骗子所谓的“核实电话”。虽然怼挂了骗子，但信息泄露还是恨的大叔牙根儿痒痒。可是恨也没用，所谓生命不息，信息泄露就不止。没过几天，大叔就看到“明星航空里程被盗刷”承包热搜榜。
有网友爆料称曾出演过《琅琊榜》、《家有外星人》的男演员吴磊的某位站姐（明星偶像应援站的组织管理者），从2017年至2020年连续三年盗用吴磊国航及南航名下的里程积分，为自己和朋友们兑换免费机票，前后多达12次，总计约23万里程。
网络视频截图
9月8日，江映蓉在微博晒出一张打码的身份信息截图及联系电话截图，透露自己的里程被盗了。
9月9日，李晨也在微博中表示自己的里程卡从2018年6月开始就被盗刷大量积分并兑换了很多机票，盗刷“享受”免费行程的人多达十数位。
一时间，“航空里程盗刷”的话题频频登上热搜榜。
人到中年，从不追星的大叔一开始甚至有点儿懵，“里程还能被盗刷？这是怎么做到的？”所以很是做了一番功课。
本期凰家反骗局，大叔就来给大伙儿说说“航空里程盗刷”的那些事儿……
一、航空里程是如何被盗刷的
说起航空里程，经常坐飞机出行的朋友应该很熟悉。航空里程是航空公司的会员积分，也就是航空公司的客户忠诚计划。国内的多家航空公司都成立了自己的俱乐部，比如国航的凤凰知音俱乐部、南方航空的明珠俱乐部、东方航空的东方万里行俱乐部等。会员乘坐相应航空公司的飞机航班可以获得一定的里程。里程积累多了，以后可以用里程兑换免费机票，免费升舱等优惠。
航空里程作为会员积分，虽然不能直接等同于现金，但有价值可供参考。
机票价格与兑换机票所需航空里程积分对比
以东方航空MU5164北京首都机场-上海虹桥机场经济舱为例，正常购买时售价650元，里程兑换需要消耗12000里程，相当于1万里程价值541元。
机票价格与兑换机票所需航空里程积分对比
以东方航空MU5183北京大兴机场-上海浦东机场经济舱为例，正常购买时售价395元，里程兑换需要消耗里程12000里程，相当于1万里程价值329元。从大叔列出的两个案例可以看出，航空里程的价值是有浮动的。
航空里程除本人使用，还可以转让给会员指定的已生效的兑换受让人使用。看到这里，大家应该明白了吴磊航空里程被盗刷的原因在于他们的航空公司会员卡里多出了“陌生”的受益人。换句话说，受益人根本不是吴磊自己添加的。这里又有一个很大疑问了！要知道，添加受益人之前需要登录账号，而登录的前提是知道账号和密码。
那么，盗刷者是如何取得了明星的账号和密码呢？
经大叔多次试验，并与航空公司客服沟通后，最终推测出盗刷者登录明星账户的以下两种可能性。
·第一种
明星本人没有在航空公司APP上注册账号的情况下，盗用者通过不知名手段获取了明星的身份证号后，直接在APP注册。以南方航空APP为例，注册时需要填写姓名、身份证号，并设定绑定的手机号。大叔在注册时填写了自己的姓名和身份证号后没有任何验证需求，便注册成功。
南方航空APP注册截图
在大叔没有注册南方航空会员之前，任何人拿到大叔的身份证号、姓名信息后都可以完成注册。而明星作为公众人物，真实姓名本就是公开信息，再通过不法手段获取明星身份证号后，加上盗刷者自己的手机号即可完成注册，把明星的身份证信息和盗刷者自己的手机号绑定。
·第二种
明星已在航空公司APP上注册了会员，但未修改初始密码。以东方航空APP为例，账号的初始查询密码就是身份证上的组成年月日的8个数字。对于已经掌握明星身份证信息的人来说，使用身份证号+初始查询密码的方式即可登录明星的航司会员账号。经大叔验证，只要是登录状态，即可在东航增加受益人，不需要额外的验证。
东方航空截图
当然，登录账户是第一步，第二步就是如何盗刷。针对以上两种情况，大叔均做了测试和咨询。首先，第一种情况注册完成后，大叔操作增加受益人这一步骤，发现需要进行实名认证，南航目前的认证方式是银行卡验证，需要银行预留手机号+短信验证码验证通过。盗刷者想要取得明星的短信验证码显然不太现实。
南航增加受益人需要实名认证
对于第二种情况，大叔在东航的进行了积分兑换测试。选定了商品后需要验证钱包密码，而钱包密码需要进行支付宝实名或人脸识别认证。这样看，即使增加了受益人，想要用里程兑换机票时无法提供钱包密码也是不能成功的。
针对近期的明星航空里程被盗刷的情况，大叔从东航客服处了解到，里程积分兑换机票需要验证钱包密码，而东航系统要求钱包密码不能和登录密码一致。盗刷者需要准确知道明星航司会员账号的钱包密码方可实现盗刷里程，也就是说，明星的钱包密码遭到泄露。
东航里程积分兑换商品需身份验证
需要说明的是，以上两种测试均基于航空公司APP目前的实际情况。这些APP的安全架构在此之前经历了一个怎样的迭代过程，大叔并不掌握。
二、背后的里程交易“黑产”
俗话说，“有人的地方就有江湖”，那么有利益的地方就少不了交易。很多用户的航空里程积分被做成了一项专门的里程买卖“生意”，且形成了一条隐秘的“黑产”。
闲鱼售卖航空里程兑换机票
大叔通过近期的观察，发现这桩隐秘的角落就在闲鱼和QQ群。闲鱼上多以出售航空里程兑换的机票为主，QQ群则是“出售里程兑换机票”与“收购航司里程积分”并举。
闲鱼出售里程兑换机票截图
闲鱼出售里程兑换机票的价格普遍在500元/万里程，具体的交易流程如上图所示。闲鱼上的交易基本都在闲鱼上沟通，用卖家的话说就是“全程走闲鱼交易，所有沟通均在闲鱼完成，以确保双方权益”。很多人看到全程在闲鱼交易就很放心，殊不知这里有一个隐藏的坑——受让人生效至少要15天（铂金卡除外），等买家的受让人信息生效，你在闲鱼交易的钱也已经到了卖家的账户上了（15天系统自动确认收货）。卖家打了一个隐藏的时间差，如果15天后卖家跑路，买家也只能自认倒霉。
大叔在某航空里程交易QQ群内，从一位资深回收航空里程的销售处了解到，南航里程快速消耗价格是255元/万里程，慢消价格是400元/万里程。如果是铂金卡，价格可以给到600元/万里程。铂金卡里程价格高的原因在于铂金卡会员在一个日历年内有3人次机会使受让人变更实时生效。
出售航空里程的流程截图
具体到交易流程，需要卖家先提供账号和密码，之后由销售验证账号、添加受益人、积分兑换机票，添加受益人之后销售可以结算，但之后的30天内卖家不可以变更交易密码。交流中，对于大叔质疑的“30天不改密码的情况下账户被盗怎么办”的问题，销售并没有回答。而且，将账号密码提供给销售后，航司会员户主的身份信息、航班信息都有极大可能被泄露。
三、盗刷他人里程违法，多人因此被判刑
盗的是航空里程，里程是用积分换的，可能有人会产生一种错觉，觉得不是一个多严重的事儿。如果这么想就大错特错了！盗刷别人航空里程同样可以认定为盗窃罪！
据《国际金融报》报道，北京市康达律师事务所律师韩骁表示，盗用他人航空里程积分用以兑换机票，对于他人财产性权益有非法占有行为，可以认定为属于盗窃罪，最终认定为犯盗窃罪的，可能面临三年以下有期徒刑、拘役或者管制刑，可能并处罚金，数额巨大或者有可以认定为具有其他特别严重情节的，可能面临三年以上十年以下有期徒刑，并处罚金。
另据澎湃新闻报道，此前曾有冒用他人身份，盗取航空里程积分转卖谋利被判诈骗罪的案例。广东省深圳市南山区人民法院于2019年7月18日公布聂某禹、陈某诈骗一审刑事判决书。前述判决书载明，从2008年开始，被告人陈某跟着被告人聂某禹在成都从事机票销售工作。2012年，陈某发现航空里程数可以兑换机票转让给他人，并告知聂某禹。之后，二人通过网络、媒体等途径掌握到居住在深圳市南山区的陈十一经常乘坐国航公司的航班，于是陈某冒用陈十一的身份信息在国航公司官方网站注册会员，并根据陈十一的航空里程积分情况兑换转卖给他人，以此谋取非法利益。经查实，被告人聂某禹以前述方式共兑换了66张机票，其中47张有价格记录的机票的总金额为人民币81540元（全价），另19张机票没有价格记录。
南山区人民法院认为，被告人聂某禹、陈某的行为均已构成诈骗罪。两被告人窃取他人积分换取机票，出售获利，造成航空公司损失；但机票价格时有波动，本院量刑时对此予以考虑。最终，南山区人民法院判决，被告人聂某禹、陈某因犯诈骗罪，分别被判处有期徒刑六个月和拘役四个月并处罚金。
四、如何预防里程被盗刷，被盗刷后怎么办？
在大叔看来，站在航司会员自身的层面来说，预防里程被盗刷最好的方法就是会员保护好自己的个人信息不泄露，个人信息包括姓名、身份证号、手机号、注册邮箱、注册地址等。但如今这个时代，我们的信息泄露已经是一个无法避免的事实，并不由我们自己掌控，很让人沮丧，所以也只能用定期重置自己的会员密码这种下下策了。当然，联系方式如果发生变更也要及时通知航司。特别是手机号，你注销的手机号可能会被其他人买去继续使用，所以一定要及时更新。
如果不慎中招，航空里程已经被盗刷，大叔建议您做两件事：
1、尽快修改密码，并拨打航司客服维权。必要时，紧急冻结航司会员账户，直到恢复正常。
2、在受益人名单中搜集好盗刷者个人信息并做好盗刷里程兑换机票的所有证据，然后及时报警。必要时，寻求法律途径解决问题。
如果有航空里程被盗刷相关经历的网友看到这篇文章，大叔希望您能够联系我们凰家反骗局，说说您的经历以及维权进展，让大叔把相关的套路更详细的曝光出来，以防更多的人因此受害。
最后，做个预告。大叔打算做一期“网红代餐食品”的选题，这些代餐吃了到底能不能有效减肥，到底是不是智商税，欢迎使用过代餐减肥方法的小伙伴儿们来找大叔唠唠。您可以在微博上 @反骗大叔 或给大叔发私信，也可以给我们凰家反骗局官方邮箱发邮件，邮箱地址：fpj@ifeng.com 。
