盗賊があなたのクレジットカードを見逃した理由 — ストレートに航空マイルを狙った

ハッキングされたAmerican Airlines AAdvantageアカウント（マイル残高が十分）は詐欺フォーラムで、そのマイルの実際の価値のほんの一部で売られている。その割引こそが詐欺の全体像だ。マイルはあなたにとってはモノポリーのお金に見える。それを盗む者にとっては、マイルは在庫だ。

不都合な計算はこうだ。クレジットカードには、不正な請求の時にテキストを送る詐欺対策部門、チャージバックプロセス、法的上限責任がある。ロイヤルティアカウントにはほぼそのどれもない。誰かが200,000ヒルトンポイントを予約に流し込んだり、あなたのマイルをパートナープログラムに移したりしても、銀行から電話はこない。航空会社はChaseがカードを凍結する方法で、アカウントを凍結しない。盗難は通常のカスタマー行動とそっくりに見える。なぜなら、ポイントを交換することは通常のカスタマー行動だからだ。

この隙間があるからこそ、「あなたのリワードアカウントを確認してください」という件名があなたの受信箱で話題になっているのだ。

最も守られない残高が、最も求められる残高である理由

盗まれたロイヤルティアカウントは闇市場で活発に取引され、研究者がその価格を記録している。Comparitech が続けるダークウェブインデックスは、リワードとエアラインログイン残高でハッキングされたアカウントを追跡している。残高によって数ドルから数十ドルの範囲だ。安く買えて、飛行機、ホテルの夜、ギフトカード、または誰も気づかないうちに第三者仲介業者を通じて移動されるリセールポイントに変換しやすい。

この規模は理論的ではない。FTC は単一の最近の年で330,000件以上のフィッシング関連詐欺報告をログに記録している。「あなたのアカウントを再度有効化してください」というおびき出しはこのカテゴリーの主力兵器だ。銀行に見える必要がないからだ。マイルの有効期限が切れるという注記または「あなたのリワードプロフィールへの不正なログイン」は、偽りの送金をクリックしない人たちがクリックする。ポイントについてはあなたは気楽だ。その気楽さが悪用される。

そして航空会社は対応が遅かった。主要な米国の航空会社が多要素認証を推し進め、パートナー転送に摩擦を加える前に、何年もかかった。Delta、United、Americanはすべて現在、より強力なログイン保護を提供または要求しているが、多くのアカウントはあなたが2016年に再利用したパスワードの後ろにまだある。

兆候がある、常に兆候がある

本物のロイヤルティメールはほぼ、ログインページにクリックして「確認」するよう求めることはない。そのようなメールが届いたら、3つのつまらないことをしてほしい：

• 表示名ではなく、実際の送信者を確認する。太字の「American Airlines」は何の意味もない。その背後にあるアドレスが意味を持つ。SPF、DKIM、またはDMARC調整に失敗するメッセージ — ドメインが本当にメールを送ったことを証明する3つのチェック — はロゴがどんなにきれいに見えても、偽造品だ。これは正にxmailがあなたがメッセージを見る前に読む層だ。
• メールからログインしない。新しいタブを開き、航空会社のアドレスを自分で入力して、そこであなたの残高を確認する。「緊急」の問題が本物のサイトに存在しなければ、それは存在しない。
• MFA をオンにして、転送をロックする。あなたができる最も価値のあることは、あなたのマイルを第二要因なしで移動不可にすることだ。

よく考えるだけの価値がある点：あなたはカードを守り、ポイントを無視するよう、10年間訓練されてきた。あなたをフィッシングしている人たちはあなたより、そのことをよく知っている。彼らはあなたの財布の中の番号を狙っていない。あなたが持っていたことすら忘れていた番号を狙っている。