盗刷发生后，最关心的问题是“钱找平台还是找小偷”。结论是：盗刷资金流向谁的平台账户，就先向谁主张；支付机构拿不出证据证明交易是你本人发起且安全措施无瑕疵的，要承担相应赔偿责任。 不是所有盗刷都能全额要回，你的反应速度和证据固定程度，直接决定结果。
一、规则层：平台的责任边界
支付机构与你之间是支付服务合同关系，法规对其义务有一整套要求：
- 《非银行支付机构监督管理条例》第二十条非银行支付机构应当与用户签订支付服务协议。非银行支付机构应当按照公平原则拟定协议条款，并在其经营场所、官方网站、移动互联网应用程序等的显著位置予以公示。……对于协议中足以影响用户是否同意使用支付服务的条款，非银行支付机构应当采取合理方式提示用户注意，并按照用户的要求对该条款予以说明。
- 《非银行支付机构监督管理条例》第三十一条非银行支付机构应当妥善保存用户资料和交易记录。有关机关依照法律、行政法规的规定，查询用户资料、交易记录及其持有的支付账户余额或者预付资金余额，或者冻结、扣划用户资金的，非银行支付机构应当予以配合。
两条合起来读出三层含义：其一，平台必须保存交易记录，这是你举证的来源；其二，交易记录、设备信息、登录 IP 等由平台掌握，发生争议时平台对交易安全措施是否到位承担更重的说明义务；其三，平台单方拟定的“非本人交易概不负责”式格式条款，未尽提示说明的不发生效力。
再叠加侵权规则：
- 《中华人民共和国民法典》第一千一百六十五条行为人因过错侵害他人民事权益造成损害的，应当承担侵权责任。依照法律规定推定行为人有过错，其不能证明自己没有过错的，应当承担侵权责任。
盗刷通常是“小偷行窃 + 平台风控失守”叠加的结果：平台若未识别异地登录、未拦截异常设备、验证短信被他人拦截仍放行，属于有过错，按过错程度分担损失。
二、深入层：哪些情形会打折扣
- 密码、验证码被你本人泄露：把验证码告诉“客服”、扫了钓鱼链接输密码，平台已尽提示义务的，责任大头在你，但平台对明显异常交易（深夜大额、境外设备）仍未拦截的，仍可按过错分担；
- 发现后拖延处理：知道盗刷后几天才挂失，损失扩大部分自己承担；
- “授权代扣”被冒用：签约过免密支付的场景，先解约再追责，主张平台在解约前未尽核查义务；
- 手机丢失且未设支付锁：设备层面你自己失守的，平台责任相应减轻。
三、操作层：黄金 24 小时行动清单
- 发现后立即在另一台设备改密码、冻结支付功能，挂失绑定银行卡，关闭免密支付；
- 截图保存：盗刷交易流水、时间、对方商户、登录地异常提示、与客服的全部沟通记录；
- 向平台提交“非本人交易”声明，要求出具交易明细与风控核查结论，申请先行赔付通道；
- 金额较大或明显涉诈的报警，取得受案回执；
- 平台拒赔的，向金融监管与网信渠道书面投诉；仍不解决，以支付服务合同纠纷或财产损害赔偿纠纷起诉，申请法院调取平台留存的风控日志。
四、常见误区
- “被盗刷只能报警等追回”：刑事追缴是其中一条路，对平台的违约与侵权索赔同样成立，可以并行。
- “平台说交易有密码就与它无关”：密码正确不等于平台尽责，异常交易拦截、设备指纹校验都是平台义务，需由平台自证。
- “小额被盗不值得追究”：多次小额盗刷往往说明信息已批量泄露，及时处理既止损也为后续报案积累证据。
- “先在群里晒损失”：晒图泄露更多账户信息，正确做法是先冻结再维权。
五、问答
与银行卡盗刷责任划分的对比，见买理财产品被误导销售，能不能要求赔偿？系列中的适当性举证思路同样适用于此；账户被司法冻结的情形另见银行卡、微信、支付宝被「司法冻结」是怎么回事？怎么解冻；被盗信息被用于冒名贷款的，处理路径见被人冒名贷款、背了征信，怎么撤销？。
举证之外，还要懂平台内部的处理节奏。非本人交易的申诉通常分三级：客服登记、风控复核、赔付决策。第一级只是记录，真正起作用的是第二级——复核时平台会调取设备指纹、登录 IP、交易时间与你手持设备的位置比对，你要做的是主动提交“设备在手”的证明，比如盗刷发生时你的定位记录、消费小票、乘车记录，证明人不在交易现场。第三级赔付决策多数平台有额度内先行赔付的机制，这解释了为什么同一类案件有人秒赔、有人拉锯：材料齐的走通道，材料散的走扯皮。
最后提醒一个连带问题：盗刷背后往往是个人信息批量泄露，处理完本次损失后，把所有注册过的平台密码全部更换、开启设备锁与异地登录提醒，并警惕此后一段时间的“客服回访”电话——骗子知道你刚被盗刷过，二次诈骗就盯这个时间差。
以上内容为一般性法律知识分享，不构成正式法律意见；具体案件请结合证据情况咨询执业律师。