Οι κλέφτες παράλειψαν την πιστωτική σας κάρτα και πήγαν κατευθείαν για τα airline miles σας

Ένας χακαρισμένος λογαριασμός American Airlines AAdvantage με υγιές υπόλοιπο μιλίων πωλείται σε φόρα απάτης για ένα κλάσμα της αξίας αυτών των μιλίων, και αυτή η έκπτωση είναι ολόκληρη η απάτη. Τα miles σας φαίνονται σαν χρήματα Monopoly. Σε κάποιον που τα κλέβει, είναι απόθεμα.

Ορίστε τα άβολα μαθηματικά. Η πιστωτική σας κάρτα έχει ένα τμήμα απάτης που σας στέλνει μήνυμα κειμένου όταν μια χρέωση φαίνεται περίεργη, διαδικασία chargebackκαι ένα νόμιμο όριο ευθύνης. Ο λογαριασμός πιστότητάς σας έχει σχεδόν κανένα από αυτά. Όταν κάποιος αφαιρεί 200,000 πόντους Hilton σε μια κράτηση ή μεταφέρει τα miles σας σε ένα σχετικό πρόγραμμα, καμία τράπεζα δεν καλεί. Η αεροπορική εταιρεία δεν κατάψυξη τον λογαριασμό όπως η Chase κατάψυξη μια κάρτα. Η κλοπή φαίνεται ακριβώς σαν κανονική συμπεριφορά πελάτη, επειδή η εξαργύρωση πόντων είναι κανονική συμπεριφορά πελάτη.

Αυτό το κενό είναι γιατί το "επιβεβαιώστε τον λογαριασμό rewards σας" έχει μια στιγμή στα εισερχόμενά σας.

Γιατί το λιγότερο προστατευμένο υπόλοιπο είναι το πιο ζητούμενο

Οι κλεμμένοι λογαριασμοί πιστότητας διακινούνται με ζωηρά στις υπόγειες αγορές, και οι ερευνητές έχουν τεκμηριώσει την τιμολόγηση. Ο συνεχής dark-web δείκτης της Comparitech έχει παρακολουθήσει χακαρισμένους λογαριασμούς σε διάφορες κατηγορίες, με rewards και airline logins να πωλούνται για λίγα δολάρια έως λίγες δεκάδες ανάλογα με το υπόλοιπο. Φτηνό για αγορά, εύκολο για αποπλύσεις σε πτήσεις, διανυκτερεύσεις σε ξενοδοχεία, κάρτες δώρου ή πόντους resale που μετακινούνται μέσω μεσαζόντων τρίτων πριν ο κάποιος προσέξει.

Η κλίμακα δεν είναι θεωρητική. Η FTC κατέγραψε περισσότερες από 330,000 αναφορές απάτης που σχετίζονται με phishing σε ένα μόνο πρόσφατο έτος, και τα "εκ νέου ενεργοποιήστε το λογαριασμό σας" δολώματα είναι ένα εργαλείο αυτής της κατηγορίας ακριβώς επειδή δεν χρειάζεται να φαίνονται σαν τράπεζα. Μια σημείωση σχετικά με τα miles που λήγουν ή μια "ύποπτη σύνδεση στο προφίλ rewards σας" κάνει κλικ από ανθρώπους που δεν θα έκαναν ποτέ κλικ σε μια πλαστή μεταφορά. Είστε χαλαρά για τους πόντους. Αυτή η χαλάρωση είναι το exploit.

Και οι αεροπορικές εταιρείες ήταν αργές. Χρειάστηκαν χρόνια — και μια σειρά από ανάληψη λογαριασμών — πριν οι μεγάλες αμερικανικές αεροπορικές εταιρείες προωθήσουν τον έλεγχο ταυτότητας πολλαπλών παραγόντων και θέσουν τριβή σε μεταφορές συνδεδεμένων προγραμμάτων. Η Delta, η United και η American προσφέρουν ή απαιτούν ισχυρότερες προστασίες σύνδεσης, αλλά πολλοί λογαριασμοί εξακολουθούν να είναι πίσω από έναν κωδικό πρόσβασης που επαναχρησιμοποιήσατε το 2016.

Τα σημάδια, γιατί πάντα υπάρχουν σημάδια

Ένα πραγματικό email πιστότητας σχεδόν ποτέ δεν σας ζητά να "επιβεβαιώσετε" κάνοντας κλικ μέσω σε μια σελίδα σύνδεσης. Όταν ένα δεν προσγειώνεται, κάντε τρία βαρετά πράγματα:

• Ελέγξτε τον πραγματικό αποστολέα, όχι το όνομα εμφάνισης. Το "American Airlines" με έντονη γραφή δεν σημαίνει τίποτα· η διεύθυνση πίσω από αυτό κάνει. Ένα μήνυμα που αποτυγχάνει στη σύσταιση SPF, DKIM ή DMARC — τους τρεις ελέγχους που αποδεικνύουν ότι ένας τομέας πραγματικά έστειλε ένα mail — είναι ένα πλαστό ανεξάρτητα από το πόσο καθαρή φαίνεται το λογότυπο. Αυτό είναι ακριβώς το στρώμα που xmail διαβάζει πριν το δείτε ποτέ.
• Ποτέ μην συνδέεστε από το email. Ανοίξτε μια νέα καρτέλα, πληκτρολογήστε μόνοι σας τη διεύθυνση της αεροπορικής εταιρείας και ελέγξτε το υπόλοιπο εκεί. Εάν το "επείγον" πρόβλημα δεν υπάρχει στη πραγματική ιστοσελίδα, δεν υπάρχει.
• Ενεργοποιήστε το MFA και κλειδώστε τις μεταφορές. Το ένα πιο πολύτιμο πράγμα που μπορείτε να κάνετε είναι να κάνετε τα miles σας ακίνητα χωρίς έναν δεύτερο παράγοντα.

Το πράγμα που αξίζει να αναλογιστείτε: σας έχουν εκπαιδεύσει για μια δεκαετία να προστατεύσετε την κάρτα και να αγνοήσετε τους πόντους. Οι άνθρωποι που σας κυνηγούν με phishing γνωρίζουν αυτό καλύτερα από εσάς. Δεν είναι μετά τον αριθμό στο πορτοφόλι σας. Είναι μετά τον αριθμό που ξεχάσατε ότι είχατε.

@@END@@