近日，“站姐盜用吳磊里程積分”的話題登上微博熱搜榜，演員吳磊的一位粉絲曬出與航空公司工作人員的聊天對話音頻，稱另一名粉絲多次盜用吳磊航空里程兌換機票，共使用掉23萬飛行里程，嚴重侵害了吳磊利益。

　　隨后幾天，江映蓉、黃英、李晨等明星也紛紛發文表示，自己的航空里程被不認識的人士盜用。這到底是怎么回事?

　　據了解，吳磊疑似是被3人盜用里程約23萬，江映蓉疑被盜用26.5萬里程，李晨從2018年6月份開始被十余人盜刷，并且涉及到了多家的航空公司，如果這些數據屬實，已經給明星藝人帶來了經濟損失。

　　明星歷程是怎么被盜用的?誰能夠盜用他人賬戶的歷程?這類業務風險該怎么防控?

　　什么是航空里程?

　　航空里程，就是航空公司俱樂部的會員積分，也就是航空公司的客戶忠誠計劃。國內的四大航空公司均成立了俱樂部用于會員服務：中國國際航空的是鳳凰知音俱樂部，南方航空是明珠俱樂部，東方航空的東方萬里行俱樂部，海南航空的金鵬俱樂部等。

　　俱樂部會員乘坐相應航空公司的飛機航班可以獲得一定的里程，不過不同的艙位積累里程的比例也不同。購買機票的票價和艙位越高，積累的里程也就越多。比如很多特價票一般不能累計里程，或者積累很少的里程。

　　大部分航空公司的累計里程的有效期是三年，里程可以用里程兌換免費機票、免費升艙、免費獲得酒店、出行等優惠和服務等。此外，很多航空公司都有推出受益人制度，也就是可以用自己積累里程為他人兌換機票。這也是“站姐盜用吳磊里程積分”發生的原因，也就是明星自己累計的航空里程因為不明原因情況下，里程被非指定受讓人挪用。該行為就好比銀行戶內的余額被陌生人轉走，支付賬號為陌生人的購物買單一樣。

　　航空里程的使用流程比較簡單，這就為被盜用留下隱患。會員賬戶里的航空里程兌換機票流程如下：

　　首先，登錄航空公司官網或App進入俱樂部，輸入會員卡號及密碼進入會員中心。

　　其次，選擇“里程兌換”，在出現的機票列表里，按照時間、航段進行搜索。

　　然后，選擇可以兌換的日期及航班，并確定。

　　下一步，選擇機票受益人，或者是賬戶持有人，或者是受讓人。

　　最后，支付票款，也就是扣減航空里程。

　　航空里程被盜用背后的三個業務風險

　　掌握了會員的身份證、賬號、密碼，然后把不認識的陌生人添加為賬號的受讓人，進而直接購票。雖然個別航空公司將受讓人添加到受讓名單里后需要60天后才能生效，但是大多數航空公司添加受讓人后立即就生效。

　　由此就涉及到三個風險：用戶信息泄露風險(用戶賬號密碼丟失)、仿冒登錄風險(賬戶暴力破解賬戶，并冒充用戶登錄操作)和內部異常操作風險(平臺管理人員越權操作，涉嫌竊取密碼、登錄用戶賬號)。

　　首先看用戶信息泄露風險。一般來說，信息泄露主要有三類途徑：一類是擁有大量用戶平臺遭入侵，導致信息泄露，比如頻發酒店、網站信息泄露事件;一類是部分公共機構、企業的內部人員，缺乏責任意識或因為利益，主動或無意的泄露竊取用戶數據，比如車管所、房產公司、保險公司;一類是用戶自己無意識泄露，比如通過微博、朋友圈等社交平臺等。由此就涉及到三類風險。

　　根據媒體報道，買賣明星個人信息已有完整產業鏈，在微博、微信、閑魚等渠道被明碼標價公開售賣，這些信息價格低廉，從幾塊到100元不等，500元就能打包購買上明星的身份信息、航班時刻表，只要花錢就能買到。以10元的價格獲得了一份文檔，里面記錄著上千位明星、主持人、經紀人的身份證和護照信息等。

　　購買明星信息都是粉絲為了追星，比如知道了身份證號和航班信息之后，就能前往機場接機、蹲公司、藏酒店、做群演，乃至和“愛豆”住在同一個小區、去同一個健身房……還有“私生飯”能從特定明星的機票、酒店信息，扒出明星的緋聞等。

　　再來看賬戶仿冒登錄風險和內部異常操作風險。內部操作風險是指內部人員利用內部的安全管理漏洞，越權竊取機密信息、進行非授權的操作、或重要信息或文件丟失、誤刪毒等。數據統計，2013年公共管理單位發生的安全事件，81%的是由于內部人員過失泄密或主動竊密造成，內控風險已經成為重大安全隱患之一。

　　媒體報道，某些機票代理商直接用陌生人的里程給旅客出機票，導致旅客在國外值機時被攔。記者通過社群和電商平搜索發現，有大量標明出售里程的賣家。2011年，成都某機票銷售人員代某盜竊他人航空里程積分并出售獲利而獲刑九個月。通過社群和電商平搜索發現，有大量標明出售里程的賣家。

　　三個層面增強航空會員的安全性

　　用戶航空里程積分被盜用是典型的業務安全事，航空公司需要進一步完善業務規則，并通過技術手段進行防護。

　　1、進一步完善會員賬號和航空里程積分管理系統，提升業務的安全性。

　　(1)一個手機號只能綁一個會員賬戶，且需要會員證件號、手機、名字等要一一對應。

　　(2)在會員使用里程時，發送驗證碼到手機號碼上進行二次確認，里程積分消費后也會有短信通知。

　　(3)賬戶添加受讓人，需要會員和受讓人雙方二次短信確認。

　　2、通過技術手段，增強賬戶的安全性。

　　(1)頂象風控系統5.0集成App加固和無感驗證兩大工具。其中，App加固基于虛機源碼保護專利技術，內嵌一機一密功能，保護App的代碼、資源文件、用戶數據，能有效偵測模擬器、刷機改機、調試破解等欺詐行為;設備能夠實時判斷注冊登錄賬戶，有效防范程序化的批量注冊、黑客惡意登錄、網絡非法爬取等欺詐風險。能夠有效防范針對用戶賬號的暴力破解、仿冒登錄。

　　(2)頂象風控系統5.0集成風控決策引擎，能夠基于對內部操作人身份、IP地址、時間戳等信息，對內部操作人員進行限制，通過對設備、身份、網絡、行為等多維操作風險策略，層層篩查操作風險，布控操作行為監控策略，實時檢測內部人員風險操作，實時檢測內部人員風險操作。一旦發現越權訪問、異常的操作或非安全環境，及進行報警，從而有效防范內部操作風險。

　　3、借助法律手段，嚴懲盜用賬戶行為。

　　按照侵權責任法的規定，未經他人允許，損害他人的人身權益和財產權益，給他人造成損害的應承擔民事責任，需停止侵害，賠償損失，賠禮道歉，甚至還要返還財產，恢復原狀。

　　盜竊他人的航空公司賬號，并進行轉讓航空里程積分等操作，屬于非法獲取計算機信息系統數據行為。如果盜竊的航空里程價值較低，只需予以治安管理處罰;但如果價值金額比較高，則構成盜竊罪。這名粉絲共盜用23萬航空里程，折合成同等價值的人民幣為11500余元。參照此標準，應認定為“數額較大”，可處3年以下有期徒刑、拘役或者管制，并處或者單處罰金。