도둑들이 신용카드를 건너뛰고 항공사 마일을 바로 노렸다

해킹된 American Airlines AAdvantage 계정은 충분한 마일 잔액을 갖고 있으면 사기 포럼에서 실제 마일 가치의 일부에 팔린다. 그 할인이 바로 사기의 전부다. 마일은 당신에게는 모노폴리 돈처럼 느껴진다. 이를 훔치는 사람에게는 재고다.

불편한 계산식을 보자. 신용카드에는 이상한 거래가 발생하면 문자를 보내는 부정거래 부서, 챠지백 절차, 그리고 법적으로 제한된 책임이 있다. 로열티 계정에는 이 중 거의 아무것도 없다. 누군가가 200,000 Hilton 포인트를 예약으로 빼내거나 마일을 파트너 프로그램으로 이전시켜도 은행에서 전화하지 않는다. 항공사는 Chase가 카드를 동결하는 방식으로 계정을 동결하지 않는다. 도둑질은 정확히 정상적인 고객 행동처럼 보인다. 왜냐하면 포인트 사용 자체가 정상적인 고객 행동이기 때문이다.

이 차이가 바로 "리워드 계정을 확인하세요"라는 메시지가 당신의 받은편지함에서 요즘 주목받는 이유다.

가장 경계가 완화된 잔액이 가장 탐내지는 잔액인 이유

훔친 로열티 계정은 지하 시장에서 활발히 거래되며, 연구자들이 가격을 문서화했다. Comparitech의 지속적인 다크웹 지수는 여러 카테고리의 해킹된 계정을 추적했으며, 리워드와 항공사 로그인은 잔액에 따라 몇 달러에서 몇십 달러로 거래된다. 싸게 사서 항공편, 호텔 숙박, 기프트 카드, 또는 제삼자 브로커를 통해 이전되는 리셀 포인트로 손쉽게 세탁할 수 있다. 그 누구도 눈치챌 때쯤이면 이미 늦다.

규모는 이론적인 것이 아니다. FTC는 최근 한 해에만 피싱 관련 사기 신고 330,000건 이상을 기록했으며, "계정 재활성화" 유인은 은행처럼 보일 필요가 없다는 이유로 정확히 이 카테고리의 주요 수법이다. 만료되는 마일에 대한 알림이나 "리워드 프로필에 의심스러운 로그인" 메시지는 가짜 송금을 절대 클릭하지 않을 사람들도 클릭하게 한다. 당신은 포인트에 대해 경계가 풀려 있다. 그 경계 해제가 바로 공격이다.

그리고 항공사들은 느렸다. 주요 미국 항공사가 다중 인증을 도입하고 파트너 이전에 마찰을 추가하기까지 몇 년이 걸렸고, 계정 인수 급증이 발생해야 했다. Delta, United, American은 모두 이제 더 강한 로그인 보호를 제공하거나 요구하지만, 많은 계정은 여전히 2016년에 재사용한 비밀번호로만 보호되어 있다.

징후들, 항상 징후가 있으니까

실제 로열티 이메일은 거의 절대 로그인 페이지를 통해 "확인"하도록 요청하지 않는다. 이런 것이 도착했을 때는 세 가지 지루한 일을 하세요:

• 표시 이름이 아니라 실제 발신자를 확인하세요. 굵은 글씨로 "American Airlines"라고 되어 있는 것은 아무것도 아니다. 그 뒤의 주소가 중요하다. SPF, DKIM, 또는 DMARC 정렬에 실패한 메시지 — 도메인이 실제로 메일을 보냈음을 증명하는 세 가지 확인 — 는 로고가 아무리 깔끔해 보여도 위조다. 이것이 정확히 당신이 메시지를 보기도 전에 xmail이 읽는 계층이다.
• 이메일에서 절대 로그인하지 마세요. 새 탭을 열어서 항공사 주소를 직접 입력하고 그곳에서 잔액을 확인하세요. "긴급" 문제가 실제 사이트에 없으면, 그 문제는 존재하지 않는 것이다.
• MFA를 활성화하고 이전을 잠그세요. 할 수 있는 가장 소중한 일은 마일을 두 번째 인증 없이 이동할 수 없게 만드는 것이다.

이것을 곱씹을 가치가 있다: 당신은 지난 십 년간 카드를 지키고 포인트를 무시하도록 훈련받았다. 당신을 피싱하는 사람들은 이를 당신보다 더 잘 안다. 그들은 당신 지갑의 숫자를 노린 것이 아니다. 당신이 가지고 있다는 것을 잊어버린 숫자를 노린 것이다.