Diebe haben Ihre Kreditkarte ignoriert und gingen direkt auf Ihre Flugmeilen

Ein gehacktes American Airlines AAdvantage-Konto mit einem ansehnlichen Meilenkontostand wird auf Betrugsforen für einen Bruchteil dessen verkauft, was diese Meilen wert sind, und dieser Rabatt ist der ganze Betrug. Meilen wirken auf Sie wie Monopoly-Geld. Für jemanden, der sie stiehlt, sind sie Bestandsverwaltung.

Hier ist die unbequeme Rechnung. Ihre Kreditkarte verfügt über eine Betrugsstelle, die Ihnen eine Nachricht sendet, wenn eine Gebühr seltsam aussieht, ein Chargeback-Prozess und eine gesetzliche Obergrenze für Ihre Haftung. Ihr Loyalitätskonto hat fast nichts davon. Wenn jemand 200.000 Hilton-Punkte in eine Buchung überweist oder Ihre Meilen auf ein Partnerprogramm überträgt, ruft keine Bank an. Die Fluggesellschaft friert das Konto nicht so ein wie Chase eine Karte einfriert. Der Diebstahl sieht genau wie normales Kundenverhalten aus, weil das Einlösen von Punkten ist normales Kundenverhalten.

Diese Lücke ist der Grund, warum „Bestätigen Sie Ihren Rewards-Account" gerade in Ihrem Posteingang präsent ist.

Warum der am wenigsten geschützte Kontostand der meistgesuchte ist

Gestohlene Loyalitätskonten werden auf unterirdischen Märkten rege gehandelt, und Forscher haben die Preisgestaltung dokumentiert. Comparitechs fortlaufender Dark-Web-Index hat gehackte Konten über Kategorien hinweg verfolgt, wobei Rewards- und Fluggesellschafts-Logins für ein paar Dollar bis zu ein paar Dutzend kosten, je nach Kontostand. Billig zu kaufen, leicht in Flüge, Hotelübernachtungen, Geschenkkarten oder Weiterverkaufspunkte umzuwandeln, die über Drittanbieter-Vermittler verschoben werden, bevor jemand es bemerkt.

Der Umfang ist nicht theoretisch. Die FTC hat in einem einzigen kürzlichen Jahr mehr als 330.000 Betrugsberichte im Zusammenhang mit Phishing registriert, und „Reactivate your account"-Köder sind genau deshalb ein Arbeitstier dieser Kategorie, weil sie nicht wie eine Bank aussehen müssen. Eine Nachricht über ablaufende Meilen oder ein „verdächtiger Login auf Ihrem Rewards-Profil" wird angeklickt von Menschen, die niemals auf eine gefälschte Überweisung klicken würden. Sie sind entspannt bezüglich Punkte. Diese Entspannung ist der Exploit.

Und Fluggesellschaften waren langsam. Es dauerte Jahre — und eine Serie von Account-Übernahmen — bevor große U.S.-Fluggesellschaften Multi-Faktor-Authentifizierung durchsetzten und Reibung bei Partnertransfers einbauten. Delta, United und American bieten alle jetzt stärkere Login-Schutzmaßnahmen an oder fordern diese, aber viele Konten sitzen immer noch hinter einem Passwort, das Sie 2016 wiederverwendet haben.

Die Zeichen, weil es immer Zeichen gibt

Eine echte Loyalitäts-E-Mail bittet Sie fast nie, sich durch Anklicken auf eine Login-Seite zu „verifizieren". Wenn eine ankommt, tun Sie drei langweilige Dinge:

• Überprüfen Sie den tatsächlichen Absender, nicht den Anzeigenamen. „American Airlines" in Fettdruck bedeutet nichts; die Adresse dahinter schon. Eine Nachricht, die SPF-, DKIM- oder DMARC-Ausrichtung nicht besteht — die drei Überprüfungen, die beweisen, dass eine Domäne wirklich eine Mail gesendet hat — ist eine Fälschung, egal wie sauber das Logo aussieht. Dies ist genau die Schicht, die xmail liest, bevor Sie die Nachricht jemals sehen.
• Melden Sie sich niemals per E-Mail an. Öffnen Sie einen neuen Tab, geben Sie die Adresse der Fluggesellschaft selbst ein und überprüfen Sie dort Ihren Kontostand. Wenn das „dringende" Problem auf der echten Website nicht existiert, existiert es nicht.
• Schalten Sie MFA ein und sperren Sie Transfers. Das Wertvollste, das Sie tun können, ist, Ihre Meilen ohne einen zweiten Faktor unbeweglich zu machen.

Das, worüber es sich nachzudenken lohnt: Sie wurden ein Jahrzehnt lang trainiert, die Karte zu schützen und die Punkte zu ignorieren. Die Leute, die Sie phishen, wissen das besser als Sie. Sie sind nicht hinter der Nummer in Ihrer Brieftasche her. Sie sind hinter der Nummer her, die Sie vergessen haben, dass Sie sie haben.