I ladri hanno saltato la tua carta di credito e sono andati direttamente ai tuoi miglia frequent flyer

Un account American Airlines AAdvantage hackerato con un saldo di miglia sano si vende nei forum di frode per una frazione di quello che quei miglia valgono, e quello sconto è l'intera truffa. I miglia ti sembrano soldi del Monopoli. Per chi li ruba, sono inventario.

Ecco la matematica scomoda. La tua carta di credito ha un dipartimento antifrode che ti invia un messaggio quando una transazione sembra strana, una procedura di chargeback, e un limite legale sulla tua responsabilità. Il tuo account di fedeltà non ha quasi niente di tutto questo. Quando qualcuno scarica 200.000 punti Hilton in una prenotazione o trasferisce i tuoi miglia a un programma partner, nessuna banca chiama. L'aviolinea non congela l'account come Chase congela una carta. Il furto assomiglia esattamente a un comportamento cliente normale, perché riscattare punti è un comportamento cliente normale.

Questo divario è il motivo per cui "conferma il tuo account premi" sta avendo un momento nella tua inbox.

Perché il saldo meno protetto è il più ricercato

Gli account di fedeltà rubati si scambiano attivamente nei mercati sotterranei, e i ricercatori hanno documentato i prezzi. L'indice dark-web continuativo di Comparitech ha tracciato account hackerati in varie categorie, con login di programmi premi e aviolinee che vanno da pochi dollari fino a pochi decine a seconda del saldo. Economico da comprare, facile da riciclare in voli, notti d'hotel, carte regalo, o punti rivenduti che vengono trasferiti attraverso broker di terze parti prima che qualcuno se ne accorga.

La scala non è teorica. L'FTC ha registrato più di 330.000 segnalazioni di frode correlata a phishing in un singolo anno recente, e le esche "riattiva il tuo account" sono un cavallo di battaglia di quella categoria proprio perché non hanno bisogno di sembrare una banca. Una nota su miglia in scadenza o un "accesso sospetto sul tuo profilo premi" viene cliccato da persone che non cliccherebbero mai un falso bonifico. Tu sei rilassato riguardo ai punti. Quella rilassatezza è l'exploit.

E le aviolinee sono state lente. Ci sono voluti anni — e una serie di takeover di account — prima che i principali vettori statunitensi spingessero l'autenticazione a più fattori e mettessero freno ai trasferimenti verso programmi partner. Delta, United e American offrono tutti o richiedono protezioni di accesso più forti, ma molti account siedono ancora dietro una password che hai riutilizzato nel 2016.

Gli indizi, perché ci sono sempre indizi

Un'email reale di fedeltà quasi mai ti chiede di "verificare" cliccando su una pagina di accesso. Quando arriva una, fai tre cose noiose:

• Controlla il mittente effettivo, non il nome visualizzato. "American Airlines" in grassetto non significa nulla; l'indirizzo dietro di esso sì. Un messaggio che non supera l'allineamento SPF, DKIM o DMARC — i tre controlli che provano che un dominio ha davvero inviato una mail — è una contraffazione indipendentemente da quanto pulito sia il logo. Questo è esattamente il livello che xmail legge prima che tu veda mai il messaggio.
• Non accedere mai dall'email. Apri una nuova scheda, digita l'indirizzo dell'aviolinea tu stesso, e controlla il tuo saldo lì. Se il problema "urgente" non esiste sul sito reale, non esiste.
• Attiva l'MFA e blocca i trasferimenti. La cosa più preziosa che puoi fare è rendere i tuoi miglia non trasferibili senza un secondo fattore.

La cosa che vale la pena considerare: sei stato addestrato per un decennio a proteggere la carta e ignorare i punti. Le persone che ti fanno phishing lo sanno meglio di te. Non sono dopo il numero nel tuo portafoglio. Sono dopo il numero che hai dimenticato di avere.