Los ladrones ignoraron tu tarjeta de crédito y fueron directo por tus millas de viajero frecuente

Una cuenta de American Airlines AAdvantage hackeada con un saldo de millas saludable se vende en foros de fraude por una fracción de lo que esas millas valen realmente, y ese descuento es todo el negocio. Las millas te parecen dinero de Monopoly. Para quien las roba, son inventario.

Aquí está la matemática incómoda. Tu tarjeta de crédito tiene un departamento de fraude que te envía mensajes cuando un cargo se ve raro, un proceso de contracargo, y un límite legal en tu responsabilidad. Tu cuenta de lealtad prácticamente no tiene nada de eso. Cuando alguien agota 200,000 puntos Hilton en una reserva o transfiere tus millas a un programa asociado, ningún banco llama. La aerolínea no congela la cuenta de la manera en que Chase congela una tarjeta. El robo se ve exactamente como comportamiento normal del cliente, porque canjear puntos es comportamiento normal del cliente.

Esa brecha es la razón por la que "confirma tu cuenta de recompensas" está teniendo un momento en tu bandeja de entrada.

Por qué el saldo menos protegido es el más buscado

Las cuentas de lealtad robadas se comercian activamente en mercados clandestinos, e investigadores han documentado los precios. El índice en la web oscura en curso de Comparitech ha rastreado cuentas hackeadas en diferentes categorías, con logins de recompensas y aerolíneas yendo desde unos pocos dólares hasta algunas decenas dependiendo del saldo. Barato de comprar, fácil de convertir en vuelos, noches de hotel, tarjetas de regalo, o puntos de recompensa que se mueven a través de intermediarios de terceros antes de que alguien se dé cuenta.

La escala no es teórica. La FTC registró más de 330,000 reportes de fraude relacionados con phishing en un año reciente, y los señuelos de "reactiva tu cuenta" son un caballo de batalla en esa categoría precisamente porque no necesitan verse como un banco. Una nota sobre millas que vencen o un "inicio de sesión sospechoso en tu perfil de recompensas" es clicada por personas que nunca harían clic en una transferencia falsa. Estás relajado sobre los puntos. Esa relajación es el exploit.

Y las aerolíneas han sido lentas. Pasaron años — y una serie de apropiaciones de cuentas — antes de que las principales aerolíneas estadounidenses impulsaran la autenticación multifactorial y pusieran fricción en las transferencias entre asociados. Delta, United y American ahora ofrecen o requieren protecciones de inicio de sesión más sólidas, pero muchas cuentas aún están protegidas solo por una contraseña que reutilizaste en 2016.

Los indicadores, porque siempre hay indicadores

Un email de lealtad real casi nunca te pide que "verifiques" haciendo clic en una página de inicio de sesión. Cuando uno llega, haz tres cosas aburridas:

• Verifica el remitente real, no el nombre mostrado. "American Airlines" en negrita no significa nada; la dirección detrás sí. Un mensaje que falla en la alineación de SPF, DKIM o DMARC — las tres verificaciones que prueban que un dominio realmente envió un correo — es una falsificación sin importar qué tan limpio se vea el logo. Esta es exactamente la capa que xmail lee antes de que tú jamás veas el mensaje.
• Nunca inicies sesión desde el email. Abre una nueva pestaña, escribe la dirección de la aerolínea tú mismo, y revisa tu saldo allí. Si el problema "urgente" no existe en el sitio real, no existe.
• Activa MFA y bloquea transferencias. Lo único más valioso que puedes hacer es hacer que tus millas sean inmóviles sin un segundo factor.

Lo que vale la pena reflexionar: has sido entrenado durante una década para proteger la tarjeta e ignorar los puntos. Las personas que te hacen phishing lo saben mejor que tú. No van por el número en tu cartera. Van por el número que olvidaste que tenías.