Les voleurs ont sauté votre carte de crédit et sont allés droit à vos miles de fidélité

Un compte American Airlines AAdvantage piraté avec un solde de miles confortable se vend sur les forums de fraude pour une fraction de la valeur réelle de ces miles, et cette remise est toute l'arnaque. Les miles vous semblent du Monopoly. Pour quelqu'un qui les vole, c'est du stock.

Voici les chiffres inconfortables. Votre carte de crédit a un département de fraude qui vous envoie un SMS quand une charge semble bizarre, un processus de rétrofacturation, et un plafond légal de responsabilité. Votre compte de fidélité n'a presque rien de tout cela. Quand quelqu'un vide 200 000 points Hilton dans une réservation ou transfère vos miles vers un programme partenaire, aucune banque n'appelle. La compagnie aérienne ne gèle pas le compte comme Chase gèle une carte. Le vol ressemble exactement à un comportement client normal, parce que l'échange de points est un comportement client normal.

C'est cet écart qui explique pourquoi « confirmer votre compte de récompenses » a son moment dans votre boîte de réception.

Pourquoi le solde le moins gardé est le plus convoité

Les comptes de fidélité volés se négocient activement sur les marchés souterrains, et les chercheurs ont documenté les tarifs. L'index web sombre permanent de Comparitech a suivi les comptes piratés dans plusieurs catégories, les accès aux récompenses et aux compagnes aériennes se vendant de quelques dollars jusqu'à quelques dizaines selon le solde. Bon marché à acheter, facile à blanchir en vols, nuits d'hôtel, cartes-cadeaux, ou points de revente qui sont déplacés par des courtiers tiers avant que quiconque ne le remarque.

L'échelle n'est pas théorique. La FTC a enregistré plus de 330 000 rapports de fraude liée au phishing en une seule année récente, et les leurres « réactivez votre compte » sont une technique de prédilection de cette catégorie précisément parce qu'ils n'ont pas besoin de ressembler à une banque. Une note sur des miles qui expirent ou une « connexion suspecte sur votre profil de récompenses » obtient des clics de la part de gens qui ne cliquent jamais sur un faux virement. Vous êtes détendu à propos des points. Cette détente est l'exploitation.

Et les compagnes aériennes ont été lentes. Il a fallu des années — et une série de prises de contrôle de compte — avant que les grands transporteurs américains ne proposent ou n'exigent des protections de connexion plus fortes et ne mettent des obstacles aux transferts vers partenaires. Delta, United et American proposent tous ou exigent maintenant une protection de connexion plus robuste, mais beaucoup de comptes sont toujours protégés par un mot de passe que vous avez réutilisé en 2016.

Les indices, parce qu'il y en a toujours

Un véritable email de fidélité ne vous demande presque jamais de « vérifier » en cliquant sur une page de connexion. Quand on en reçoit un, faites trois choses ennuyeuses :

• Vérifiez l'expéditeur réel, pas le nom affiché. « American Airlines » en gras ne signifie rien ; l'adresse derrière cela, oui. Un message qui échoue l'alignement SPF, DKIM ou DMARC — les trois vérifications qui prouvent qu'un domaine a vraiment envoyé un mail — est un faux peu importe la propreté du logo. C'est exactement la couche que xmail lit avant que vous ne voyiez jamais le message.
• Ne vous connectez jamais depuis l'email. Ouvrez un nouvel onglet, tapez l'adresse de la compagnie aérienne vous-même, et vérifiez votre solde là. Si le problème « urgent » n'existe pas sur le vrai site, il n'existe pas.
• Activez l'AMF et verrouillez les transferts. La seule chose la plus précieuse que vous puissiez faire est de rendre vos miles non-transférables sans un second facteur.

La chose qui mérite de s'y attarder : on vous a entraîné pendant une décennie à garder la carte et ignorer les points. Les gens qui vous font du phishing le savent mieux que vous. Ils ne sont pas après le numéro dans votre portefeuille. Ils sont après le numéro que vous aviez oublié d'avoir.