read receipts
اللصوص تجاوزوا بطاقتك الائتمانية وذهبوا مباشرة إلى أميال الطيران الخاصة بك
الرصيد الذي تتحقق منه مرتين في السنة هو الذي يفحصه المجرمون كل يوم — وتحويله نقداً نادراً ما يُطلق أي إنذار.
حساب American Airlines AAdvantage مخترق برصيد أميال صحي يُباع في منتديات الاحتيال بجزء من القيمة الحقيقية لتلك الأميال، والخصم هو الخدعة كلها. الأميال تبدو لك مثل أموال لعبة Monopoly. بالنسبة لمن يسرقها، فهي مخزون.
إليك الحساب غير المريح. بطاقتك الائتمانية لديها قسم احتيال يرسل لك رسالة نصية عندما تبدو الرسوم غريبة، وعملية استرجاع الأموال، وحد قانوني على مسؤوليتك. حسابك للمكافآت ليس لديه أي من ذلك تقريباً. عندما يُفرغ شخص ما 200,000 نقطة Hilton في حجز أو ينقل أميالك إلى برنامج شريك، لا تتصل بك أي بنك. لا تُجمّد شركة الطيران الحساب بالطريقة التي تُجمّد بها Chase بطاقة. السرقة تبدو تماماً مثل سلوك العميل الطبيعي، لأن استرجاع النقاط هو سلوك العميل الطبيعي.
هذه الفجوة هي السبب في أن "تأكيد حساب مكافآتك" يشهد حالياً ازدهاراً في صندوق بريدك.
لماذا الرصيد الأقل حماية هو الأكثر طلباً
حسابات المكافآت المسروقة تُباع بنشاط في الأسواق السوداء، والباحثون وثّقوا الأسعار. مؤشر الويب المظلم المستمر من Comparitech تتبع الحسابات المخترقة عبر فئات متعددة، مع تسجيلات المكافآت والطيران تُباع بسعر يتراوح من بضعة دولارات إلى بضعة دزينات حسب الرصيد. رخيصة الشراء، سهلة تحويل إلى رحلات جوية، ليالي فندقية، بطاقات هدايا، أو نقاط إعادة بيع يتم نقلها عبر وسطاء من طرف ثالث قبل أن يلاحظ أحد.
الحجم ليس نظرياً. سجلت لجنة التجارة الفيدرالية أكثر من 330,000 تقرير احتيال متعلق بـ phishing في سنة واحدة حديثة، و"أعد تفعيل حسابك" الطُعم هو آلية قوية في هذه الفئة على وجه التحديد لأنه لا يحتاج إلى أن يبدو وكأنه بنك. ملاحظة حول انتهاء صلاحية الأميال أو "دخول مريب على ملف مكافآتك" يتم النقر عليه من قبل أشخاص لن يُمرروا أبداً على تحويل سلك وهمي. أنت مسترخٍ بشأن النقاط. هذا الاسترخاء هو الثغرة.
وشركات الطيران تحركت ببطء. استغرق الأمر سنوات — وسلسلة من المحاولات السيطرة على الحسابات — قبل أن تدفع شركات الطيران الكبرى الأمريكية بالمصادقة متعددة العوامل وتضع احتكاكاً على تحويلات الشركاء. Delta وUnited وAmerican جميعها توفر الآن أو تتطلب حماية تسجيل دخول أقوى، لكن العديد من الحسابات لا تزال تقبع خلف كلمة مرور أعدت استخدامها في 2016.
المؤشرات، لأن هناك دائماً مؤشرات
رسالة بريد إلكترونية حقيقية للمكافآت لا تطلب أبداً منك "التحقق" بالنقر من خلالها إلى صفحة تسجيل دخول. عندما تصل واحدة، قم بثلاثة أشياء ممله:
- تحقق من المُرسل الفعلي، وليس اسم العرض. "American Airlines" بخط عريض لا يعني شيئاً؛ العنوان خلفها هو ما يهم. الرسالة التي تفشل في محاذاة SPF أو DKIM أو DMARC — الفحوصات الثلاثة التي تثبت أن النطاق أرسل فعلاً بريداً — تزييف بغض النظر عن مدى نظافة الشعار. هذا هو بالضبط الطبقة التي يقرأها xmail قبل أن تراها أنت على الإطلاق.
- لا تسجل دخول من البريد الإلكترونية. افتح علامة تبويب جديدة، اكتب عنوان شركة الطيران بنفسك، وتحقق من رصيدك هناك. إذا كانت المشكلة "العاجلة" غير موجودة على الموقع الحقيقي، فهي غير موجودة.
- قم بتشغيل MFA وأقفل التحويلات. الشيء الأكثر قيمة الذي يمكنك فعله هو جعل أميالك غير قابلة للنقل بدون عامل ثانٍ.
الشيء الذي يستحق التأمل فيه: لقد تم تدريبك لمدة عقد من الزمان على حماية البطاقة وتجاهل النقاط. الأشخاص الذين يصطادونك بـ phishing يعرفون ذلك أفضل منك. إنهم لا يسعون وراء الرقم في محفظتك. إنهم يسعون وراء الرقم الذي نسيت أن لديك.
المصادر
- FTC Consumer Sentinel — Phishing and imposter fraud report volumes
- Comparitech — Dark-web pricing index for hacked accounts including rewards logins
- American Airlines AAdvantage — AAdvantage account and security options