拳头账号怎么防盗：两步验证、钓鱼骗局和被盗后的找回

《云顶之弈》里一切要紧的东西都住在同一个地方：拳头账号。段位和胜点、小小英雄和棋盘的收藏、通行证进度、已购内容，而且同一个账号也用来登录英雄联盟。它跟着你从手机到 PC 再到 Mac，也毫发无损地穿过了 18.1 版本。让人丢掉账号的，几乎从来不是什么高明的黑客手段，而是在一个仿冒拳头登录页的页面上输入的密码、一个多年前就忘了密码的邮箱，或者借给朋友的账号。下面是真正能保护它的做法，按重要程度排序。

一个拳头账号值多少，为什么有人盯上你的

谈保护之前，先量一量用户名和密码背后到底有什么。远不止一个云顶之弈的资料页。

• 段位、胜点和对局记录。它们属于账号而不属于机器，我们关于 云顶之弈排位与段位 的文章说得很清楚。
• 收藏：小小英雄、棋盘、爆炸特效和表情，其中一部分在所属赛季结束后就再也拿不到。正是这些让账号有了转卖价值，也正是因此它才成为目标。
• 当前赛季的通行证、用游戏货币买下的东西，以及这些年付过的一切。
• 同一个拳头账号也打开英雄联盟和这家公司的其他游戏：从云顶之弈这边偷走的密码，会把其余全部一并带走。

账号被偷，是为了转卖，是为了给丢了自己账号的人当一次性小号，或者干脆把里面的东西掏空。无论哪种情况，小偷都没有撬锁：是有人把钥匙递给了他。

18.1 版本拿走的是 macOS，不是你的账号

这条提醒很有用，因为这个问题常常以担心的语气反复出现。18.1 版本开启第 18 赛季，把《云顶之弈》从拳头自研引擎搬到虚幻引擎，同时移除了 macOS 支持：既没有技术支持，也不再有修复。拳头把这次移除说成是暂时的，表示正在努力让系统在未来的更新中重新获得支持，但没有给出日期。同一个版本还淘汰了内存最小的老款安卓和 iOS 设备。

但过程中没有任何账号被重置或删除。段位、收藏和已购内容都留在原地，绑在拳头账号上。变的是机器：在 Mac 上，游戏现在经由安卓客户端运行，拳头仍然完整支持它，而登录发生在游戏内部的拳头登录界面上。这次移除的细节写在我们关于 18.1 版本移除 macOS 支持 的文章里。就账号安全而言，记住一点：任何声称“你的 Mac 账号将被删除”或者因为版本更新需要“验证账号”的消息都是在撒谎。从来不存在 Mac 账号，只有拳头账号。

两步验证：十分钟改变一切

两步验证，拳头称之为多重验证，在每次登录时要求第二重证明：密码之外再加一个一次性验证码。拿到密码的小偷到这里就走不下去了。它在拳头官网的账号页面上开启，而不是在游戏里。

1. 1登录你在 riotgames.com 域名下的拳头账号页面，找到多重验证那一栏。
2. 2点击启用按钮。拳头会向账号邮箱发一封邮件，真正开启保护的按钮就在那封邮件里。收不到就查垃圾邮件，再请求重新发送。
3. 3从此以后，每次登录先输密码，再输一个发到账号邮箱的六位验证码，在游戏或网站上填入。
4. 4有一个勾选框可以让受信任的设备在一段有限时间内不再询问验证码。不是你自己的电脑，就别勾。

最要紧、也最常被略过的一点：验证码是发到邮箱的。这意味着邮箱才是拳头账号真正的钥匙。谁进了你的邮箱，就能收到验证码、重置密码，最后把账号邮箱换掉，把你关在外面。所以拳头账号的第一道防线，是邮箱本身的两步验证，外加一个别处从未用过的密码。如果你是用 Google 或 Apple 账号登录拳头的，那个账号的安全就是你拳头账号的安全。

密码、用户名和邮箱：三样不能混的东西

• 密码必须是独一无二的。最常见的情况不是拳头被黑，而是你用了同一个密码的另一个服务发生了泄露。macOS 的钥匙串或密码管理器会替你记住它。
• 登录用户名不是 Riot ID。Riot ID，也就是带井号和标签的那个名字，是公开的：对局里和数据网站上都看得到，没人能用它登录。登录用户名则在游戏里任何地方都不显示，也没有任何理由告诉别人。
• 账号邮箱必须是你仍然掌控的邮箱。中学时用一个早已弃用的邮箱注册的账号，到了需要收验证码那天，就是一个找不回来的账号。
• 登录方式要保持一致。用 Google 注册的账号，之后拿拳头密码去找，走到的不是同一个地方：我们关于 Mac 上三个互相重叠的身份 的文章解释了为什么这个细节看起来像账号丢了。

钓鱼：免费皮肤根本不存在

拳头账号被盗几乎总是从一条消息开始。它出现在 Discord、赛后聊天、邮件、WhatsApp 群或视频评论区，并承诺一点什么：免费点券、送皮肤、稀有小小英雄、抢先体验。链接通向一个复刻了拳头登录界面的页面。玩家输入用户名和密码，页面说声谢谢，账号在一小时内就换了主人。

• 拳头的登录页住在 riotgames.com 域名下。任何在其他域名上索要拳头密码的页面都是仿冒，做得再像也一样。输入任何东西之前先看地址栏。
• 拳头从不通过消息索要密码，Discord 不会，邮件不会，游戏里也不会。写信来“核实你账号”的“拳头员工”不是拳头员工。
• 需要登录才能领的礼物不是礼物。创作者的真实抽奖发的是兑换码或礼品卡，从来不是登录表单。
• 吓唬人的版本和送礼的版本一样管用：“你的账号将被封停，请在 24 小时内验证”。紧迫感就是信号，不是例外。
• 18.1 之后，任何承诺可下载官方“Mac 版云顶之弈客户端”的页面，往好了说也是错的。拳头移除了 macOS；Mac 上唯一受支持的路径是安卓客户端。从 Play 商店以外捡来的安装包才是真正的风险，我们关于 拳头到底处罚什么 的文章讲得很清楚。

数据网站从来不需要什么

那些展示你对局记录、段位和常用阵容的网站，读的是公开数据。只要一个带井号的 Riot ID，它们就能找到一切。它们不需要你的密码，也永远不会拿到。

• 有些网站提供“用拳头账号登录”来关联资料。这个按钮把你送到 riotgames.com 域名下的一个页面，页面说明网站将被允许读取什么，然后把你送回来。密码是在拳头那里输的，绝不在网站上。
• 一个网站、一个悬浮层或一个应用，在自己的窗口里摆出自己的“拳头密码”输入框，就已经越了线。关掉它。
• 这些网站对你的了解，就是任何人在对局里都看得到的东西：Riot ID、段位、记录。没有任何一样能拿来登录。

在 Mac 上玩的时候这些工具能做什么、不能做什么，以及为什么桌面悬浮层在这种情况下并不存在，写在我们关于 Mac 上的数据与悬浮层 的文章里。

把账号借出去：真正的代价

把用户名和密码交给朋友、双人作战的队友，或者承诺帮你上分的服务，要付出两样代价，而第一样比第二样更重。

• 控制权。拿到你登录信息的人可以改邮箱、改密码。从那一刻起，拳头看到的是两个人在争同一个账号，找回变成了一场需要举证的纠纷，而不是一次点击。
• 账号本身。共享账号和代练属于真正会让账号消失的违规行为，东南亚服和其他任何服务器一样，与你用什么设备无关。
• 在一台全家共用的 Mac 上，游戏在两次使用之间保持登录状态。退出登录要在游戏设置里做，这是让另一个玩家不至于继承你账号的唯一必要动作。
• 在 Mac 上，游戏从 18.1 起经由安卓客户端运行，登录发生在游戏内部的拳头界面上：OSFT Launcher 既看不到也不保存拳头密码，而 Play 商店的 Google 账号是另一个独立身份，打不开拳头账号。

账号被盗：按顺序做的事

如果你登录不上了，或者记录里出现了你没打过的对局，处理的顺序比速度更重要。

1. 1先夺回邮箱。改掉它的密码，开启它的两步验证，检查有没有被人加了自动转发规则：小偷正是靠这个在你处理完之后继续收到你的验证码。
2. 2从拳头官网 riotgames.com 域名下的“忘记密码”页面重置拳头密码，绝不要从消息里收到的链接进入。
3. 3如果之前没开两步验证，现在开启，并把所有用过同一个密码的其他服务的密码也改掉。
4. 4如果账号邮箱已经被改掉，重置邮件不会到你手里。剩下的路是拳头客服，提交一份账号找回工单，他们会要求你证明账号是你的：注册的日期和地点、游戏区域、购买记录。
5. 5绝不要付钱给承诺“花钱帮你找回账号”的“找回服务”。那是叠在第一场骗局之上的第二场骗局。

五行日常

• 拳头账号和接收其验证码的邮箱都开启两步验证。
• 一个独一无二的密码，交给钥匙串或密码管理器保管，绝不在别处复用。
• 拳头密码只在 riotgames.com 域名下输入，别处一律不输。
• 任何要求登录的礼物、抽奖或警告都是骗局，没有例外。
• 共用的 Mac 上，每次结束都在游戏设置里退出登录。

这个账号熬过了 macOS 的移除，也会熬过下一个赛季。它熬不过的是一个被交出去的密码，而这五行防的正是这一件事。账号在各平台之间如何运作、什么会同步、什么不会，写在我们关于 拳头账号与跨平台进度 的文章里。