攒了 3 年的 20 万航空里程，一夜之间被换成了别人的机票；酒店积分被盗刷订了房。航空里程和酒店积分被盗，是华人旅行者越来越常见的遭遇：里程和积分能换机票酒店，在黑市上明码标价，成了黑客的新目标。更麻烦的是，里程积分不像银行存款有 Regulation E 的保护，航空公司和酒店集团的赔付政策各不相同，维权要一家一家谈。这篇文章讲清楚被盗后的冻结、追回、平台责任，以及事前防范。
一、里程积分为什么被盗：三种途径
途径一：撞库。黑客用泄露的用户名密码库批量尝试登录，密码简单、在多个网站复用的，最容易中招。航空和酒店账户的密码要求一般比银行松，很多人设的还是 123456 级别的。途径二：钓鱼。仿冒航空公司的“里程过期提醒”邮件，点链接输账号密码，账号就没了。途径三：内鬼或数据泄露。航空公司、酒店集团的数据泄露事件时有发生（万豪 2018 年泄露 5 亿条是著名案例），你的账户信息可能早就在黑市上流通了。
里程积分在黑市的价格：1 万航空里程约 50 到 100 美元，黑客盗号后批量换机票再转卖，或者直接卖账号。一单生意的利润可观，所以黑客有动力。你的 20 万里程，在黑市值 1000 到 2000 美元，值得黑客花心思。认识到“里程是钱”，才会像保护银行账户一样保护里程账户。
二、发现被盗：第一时间的四件事
第一，立刻改密码。用没在其他网站用过的强密码，开启双重验证（2FA）。第二，冻结账户。打航空公司/酒店集团的客服，要求冻结账户、暂停所有交易。主流航司（United、Delta、American）和酒店集团（Marriott、Hilton、Hyatt）都有 fraud 部门，24 小时有人。第三，查交易记录。把被盗刷的交易列出来：换了谁的机票、订了哪的房，截图保存。第四，报警。金额大的（几千美元以上），报警备案，拿报案号。
时间就是金钱：里程被换成机票后，机票可能被转卖，越早冻结，追回的希望越大。发现被盗后 24 小时内行动，是黄金窗口。很多受害者几个月后才发现（不常登录账户），那时候里程早就被消费完了，追回难度大增。建议：每季度登录一次里程账户，看看余额对不对。
三、追回：跟平台谈判
主流平台的政策：United、Delta、American 对被盗里程一般会调查后返还（需要你配合：报警记录、身份验证），Marriott、Hilton 的积分被盗也有类似的返还政策。但注意：返还是平台的“善意”，不是法定义务（不像银行的 Regulation E 是法定的），所以平台的调查可能很慢、要求很多。谈判技巧：态度坚定但礼貌、证据齐全（被盗时间线、非常用设备登录记录）、引用平台的 fraud 政策。
如果平台拒绝返还，升级路径：向 DOT（Department of Transportation，管航空）投诉、向 FTC 投诉（不公平商业行为）、向州总检察长投诉。DOT 对航空公司的消费者投诉很重视，投诉后航空公司的回应速度会快很多。金额大的，可以找律师发函。记住：平台最怕的是监管投诉，一封 DOT 投诉信，比 10 封客服邮件管用。
四、平台的责任边界：能主张什么
平台对账户安全有合理的保护义务：如果平台没有提供双重验证、密码要求过松、对异常登录没有预警，平台的安全措施可能被认为不达标。但主张平台责任很难：用户协议里一般都有免责条款，法院对“黑客攻击”的平台责任认定也很谨慎。现实点的策略是：以“协商返还”为目标，不以“追究平台责任”为目标。前者成功率高，后者成本高。
集体诉讼是另一个路径：如果某平台大规模数据泄露导致用户里程被盗，可以参与集体诉讼。美国每年都有这类和解，和解金额一般不大（每人几十到几百美元），但聊胜于无。关注集体诉讼的通知（邮件、新闻），在截止日期前登记。
五、事前防范：六个习惯
第一，强密码加 2FA。每个里程账户用不同的强密码，开双重验证（能开的一定开）。第二，密码管理器。用 1Password、Bitwarden 这类工具，不再复用密码。第三，警惕钓鱼。不点“里程过期”邮件里的链接，自己输入官网域名登录。第四，定期检查。每季度登录看一次余额，异常立刻处理。第五，里程不过期策略：很多航司的里程 18 到 24 个月无活动就过期，设个提醒，定期小额活动（买杯咖啡攒里程）保住。第六，家庭账户：能开家庭共享的开一个，分散风险。
六、被盗机票已经飞了：还能追吗
里程换的机票如果已经被别人飞了，追回里程的难度大增，但不是没希望。航空公司可以查到机票的使用人信息（姓名、证件），配合警方的调查，有可能找到盗用人。但跨国盗用的，执法很难。现实点的期望是：平台基于“善意”返还部分或全部里程，而不是“抓到小偷”。谈判时强调你是受害者、配合调查，平台返还的概率会高一些。
酒店积分被盗订房的，情况类似：酒店有入住人的登记信息，报警后警方可以调查。但同样，追回的期望要放在平台返还上，而不是抓小偷。止损的核心永远是“快”：发现越早，损失越小。
七、信用卡积分被盗：顺带说
信用卡的积分（Chase Ultimate Rewards、Amex Membership Rewards）被盗，处理方式类似，但多一层保护：信用卡本身受 FCBA（公平信用账单法）保护，盗刷的消费可以拒付。积分被盗换了东西，向银行报 fraud，银行的调查比航司更规范。信用卡积分的价值更高（1 点约 1.5 美分），更值得保护。同样：强密码、2FA、定期检查。
八、常见问题快问快答
问：里程账户被盗，航空公司说“是你自己泄露的密码，不赔”，怎么办？答：先不要接受这个结论。要求航空公司提供“异常登录”的证据（IP 地址、设备信息），如果登录 IP 在国外、设备不是你的，说明是黑客，不是你的问题。向 DOT 投诉，航空公司的态度一般会软化。
问：家人共用一个里程账户，被盗了算谁的？答：算账户持有人的。家庭共享的，要确定是谁的设备被黑、谁的密码泄露。共用账户的风险是连带责任，建议大额里程分开存放，不要把所有鸡蛋放一个篮子。
问：里程过期了，能要回来吗？答：看平台政策。大部分航司允许付费恢复过期里程（有时间限制，一般过期 18 个月内），费用不高。Delta 的里程不过期（政策优势），United、American 的会过期。设个过期提醒，比事后恢复便宜。
九、里程积分的“遗产”问题：人走了里程怎么办
一个很少人想但很重要的问题：持有人去世，里程积分怎么办？各平台政策不同：United、Delta 允许继承人凭死亡证明和法律文件转移里程（有手续费）；American 原则上不允许转移，但可以个案申请；酒店集团大多允许直系亲属继承。建议：把里程账户的登录信息告诉信任的家人（用密码管理器共享），生前规划里加上“数字资产”（里程、积分、加密货币）的处置。这是数字时代的新课题，传统遗嘱里一般没写，但值得写。
十、里程诈骗的新变种：卖分、买分
黑市上有人“卖里程”（低价卖你里程，帮你出票），这是违规的：航空公司的条款都禁止里程买卖，买来的里程出的票，航空公司可以取消、封号。更黑的是：骗子收了你的钱，用盗来的里程给你出票，票飞了，骗子消失，你的钱也没了。记住：里程只能通过官方渠道获取（飞、刷卡、转分），任何“低价买分”的都是坑。出票找官方，贪便宜吃大亏。
十一、账户安全的终极方案：密码管理器加硬件密钥
对里程大户（几十万里程以上），建议上终极方案：密码管理器（1Password、Bitwarden）管所有密码，每个账户独立强密码；重要账户开硬件密钥（YubiKey）做 2FA，比短信验证安全得多（短信会被 SIM 卡劫持）。这套方案的成本一年几十美元，保护的是价值几千美元的里程。安全投入和资产价值要匹配，20 万里程值得你花 50 美元买个 YubiKey。
十二、里程账户的“遗嘱”：写下来
把里程账户写进你的家庭应急文件：账户名、平台、大概余额、客服电话。不是遗嘱的正式部分，但家人需要时能找到。很多人走了，几十万里程没人知道，过期作废，这是真正的浪费。数字资产清单（银行、里程、加密、社交账号）是现代家庭的标配，一年更新一次，存在安全的地方，告诉家人位置。
最后总结：里程是钱，像保护钱一样保护里程。强密码、双重验证、定期检查、不点钓鱼链接，四条做到，被盗概率降 90%。剩下的 10%，靠早发现、快冻结、勤谈判。你的里程，你做主。
问：航空公司倒闭了，里程怎么办？答：看情况。破产重组的，里程一般保留；清算倒闭的，里程可能作废。历史上有先例（比如某些小航司），大航司倒闭的概率低。分散风险：不要把所有里程押在一家，多元化攒分。
里程安全无小事。从今天起，给每个里程账户换上强密码、打开双重验证。
相关阅读
- 银行账户被盗刷怎么办：Regulation E 60 天报告、10 天调查与追回全流程
- 美国信用卡拒付 Chargeback 全攻略：FCBA 60 天争议规则、银行流程与证据清单
- 个人信息泄露后怎么办：72小时应急、信用冻结与消费者索赔路径
英文官方来源
核验于 2026年10月7日：DOT 航空消费者保护规则以官网现行版本为准；各航司里程政策以官网为准。
免责声明
本文仅为一般信息分享，不构成法律意见。里程政策因平台而异，具体请以各平台官网为准，被盗后请及时报警。
更多美国华人防骗实务解读，欢迎关注微信公众号：UUUMGT，后台回复“防骗”查看诈骗防范专题。
评论前必须登录！
注册