Pencuri Lewati Kartu Kredit Anda dan Langsung Targetkan Airline Miles Anda

Akun American Airlines AAdvantage yang diretas dengan saldo mileage sehat dijual di forum fraud dengan harga jauh di bawah nilai miles tersebut, dan diskon itulah seluruh scamnya. Miles terasa seperti uang Monopoly bagi Anda. Bagi seseorang yang mencurinya, itu adalah inventory.

Inilah matematika yang tidak nyaman. Kartu kredit Anda memiliki departemen fraud yang mengirim pesan kepada Anda ketika tagihan terlihat aneh, proses chargeback, dan cap legal atas tanggung jawab Anda. Akun loyalitas Anda hampir tidak memiliki satupun dari itu. Ketika seseorang menguras 200.000 Hilton points menjadi booking atau mentransfer miles Anda ke program partner, tidak ada bank yang menelepon. Maskapai tidak membekukan akun dengan cara Chase membekukan kartu. Pencurian terlihat persis seperti perilaku pelanggan normal, karena menukar points memang perilaku pelanggan normal.

Kesenjangan itulah mengapa "konfirmasi akun rewards Anda" sedang menjadi tren di inbox Anda.

Mengapa saldo yang paling kurang terlindungi adalah yang paling dicari

Akun loyalitas yang dicuri diperdagangkan dengan ramai di pasar bawah tanah, dan peneliti telah mendokumentasikan harganya. Indeks dark web berkelanjutan Comparitech telah melacak akun yang diretas di berbagai kategori, dengan login rewards dan maskapai terjual dari beberapa dolar hingga beberapa puluh dolar tergantung saldo. Murah dibeli, mudah dicuci menjadi penerbangan, malam hotel, gift cards, atau poin resale yang dipindahkan melalui broker pihak ketiga sebelum siapa pun menyadarinya.

Skala ini bukan teoretis. FTC mencatat lebih dari 330.000 laporan fraud terkait phishing dalam satu tahun terakhir, dan umpan "reaktifkan akun Anda" adalah alat kerja kategori itu tepat karena mereka tidak perlu terlihat seperti bank. Catatan tentang miles yang kadaluarsa atau "login mencurigakan pada profil rewards Anda" diklik oleh orang-orang yang tidak akan pernah mengklik transfer kawat palsu. Anda santai tentang points. Santai itulah exploit-nya.

Dan maskapai telah lambat merespons. Diperlukan bertahun-tahun — dan serangkaian pengambilalihan akun — sebelum maskapai U.S. besar mendorong autentikasi multi-faktor dan menambah friction pada transfer partner. Delta, United, dan American semuanya sekarang menawarkan atau mensyaratkan perlindungan login yang lebih kuat, tetapi banyak akun masih hanya di belakang password yang Anda gunakan ulang pada 2016.

Tell-nya, karena selalu ada tell

Email loyalitas asli hampir tidak pernah meminta Anda untuk "verifikasi" dengan mengklik ke halaman login. Ketika yang satu tiba, lakukan tiga hal membosankan:

• Periksa pengirim sebenarnya, bukan nama tampilan. "American Airlines" dalam huruf tebal berarti tidak ada apa-apanya; alamat di belakangnya yang penting. Pesan yang gagal penyelarasan SPF, DKIM, atau DMARC — tiga pemeriksaan yang membuktikan domain benar-benar mengirim mail — adalah pemalsuan tidak peduli seberapa bersih logo terlihat. Ini adalah lapisan yang persis xmail baca sebelum Anda pernah melihat pesan.
• Jangan pernah masuk dari email. Buka tab baru, ketik alamat maskapai sendiri, dan periksa saldo Anda di sana. Jika masalah "mendesak" tidak ada di situs asli, itu tidak ada.
• Aktifkan MFA dan kunci transfer. Satu-satunya hal paling berharga yang dapat Anda lakukan adalah membuat miles Anda tidak dapat dipindahkan tanpa faktor kedua.

Hal yang layak direnungkan: Anda telah dilatih selama satu dekade untuk menjaga kartu dan mengabaikan points. Orang-orang yang melakukan phishing kepada Anda tahu hal itu lebih baik daripada Anda. Mereka tidak mengejar nomor di dompet Anda. Mereka mengejar nomor yang Anda lupa Anda miliki.