Dieven sloegen je creditcard over en gingen direct naar je vliegmijlen

Een gehackt American Airlines AAdvantage-account met een gezond mijlensaldo wordt op fraudaforums verkocht voor een fractie van wat die mijlen waard zijn, en die korting is de hele scam. Mijlen voelen als Monopoly-geld voor jou. Voor iemand die ze steelt, zijn het inventaris.

Hier is de onaangename rekensom. Je creditcard heeft een fraudeafdeling die je sms't wanneer een transactie vreemd lijkt, een chargeback-proces, en een wettelijke limiet op je aansprakelijkheid. Je loyaliteitsaccount heeft bijna niks van dat. Wanneer iemand 200.000 Hilton-punten in een boeking opzuigt of je mijlen naar een partnerprogramma overbrengt, belt geen bank. De luchtvaartmaatschappij bevriest het account niet zoals Chase een kaart bevriest. De diefstal ziet er precies uit als normaal klantgedrag, omdat punten inlossen is normaal klantgedrag.

Die kloof is waarom "bevestig je beloningsaccount" nu een moment heeft in je inbox.

Waarom het minst bewaakte saldo het meest begeerde is

Gestolen loyaliteitsaccounts worden druk verhandeld op ondergrondse markten, en onderzoekers hebben de prijzen gedocumenteerd. Comparitechs doorlopende dark-web-index heeft gehackte accounts in verschillende categorieën gevolgd, met belonings- en luchtvaartmaatschappij-logins die enkele dollars tot enkele tientallen dollars kosten afhankelijk van het saldo. Goedkoop in te kopen, gemakkelijk om te zetten in vluchten, hotelkamers, cadeaukaarten of wederverkochte punten die via derdenmakelaar worden verhandeld voordat iemand het opmerkt.

De schaal is niet theoretisch. De FTC registreerde meer dan 330.000 phishing-gerelateerde fraudemeldingen in één recent jaar, en "reactiveer je account"-lokkertjes zijn een werkpaard van die categorie precies omdat ze niet op een bank hoeven te lijken. Een opmerking over vervallende mijlen of een "verdachte aanmelding op je beloningsprofiel" wordt aangeklikt door mensen die nooit op een nepgeldoverboekingsbericht zouden klikken. Je bent ontspannen over punten. Die ontspanning is de exploit.

En luchtvaartmaatschappijen zijn langzaam geweest. Het duurde jaren — en een reeks accountovernamen — voordat grote Amerikaanse luchtvaartmaatschappijen multi-factor-authenticatie doorvoerden en wrijving op partneroverboeking zetten. Delta, United en American bieden nu allemaal sterkere loginbeveiliging aan of vereisen deze, maar veel accounts zitten nog steeds achter een wachtwoord dat je in 2016 hebt hergebruikt.

De aanwijzingen, want er zijn altijd aanwijzingen

Een echt loyaliteitsbericht vraagt je bijna nooit om te "verifiëren" door via een loginpagina te klikken. Wanneer zoiets binnenkomt, doe drie saaie dingen:

• Controleer de werkelijke afzender, niet de weergavenaam. "American Airlines" in vet betekent niets; het adres erachter doet dat wel. Een bericht dat SPF, DKIM of DMARC-afstemming niet doorstaat — de drie controles die bewijzen dat een domein echt een mail heeft verzonden — is een vervalsing, hoe schoon het logo er ook uitziet. Dit is precies de laag die xmail leest voordat jij het bericht ooit ziet.
• Meld je nooit aan vanuit de email. Open een nieuw tabblad, typ het adres van de luchtvaartmaatschappij zelf, en controleer je saldo daar. Als het "urgente" probleem niet bestaat op de echte site, bestaat het niet.
• Zet MFA aan en vergrendel overboeking. Het enige meest waardevolle wat je kunt doen is je mijlen onverhuisbaar maken zonder een tweede factor.

Het ding waar het de moeite waard is over na te denken: je bent een decennium lang getraind om de kaart te bewaken en de punten te negeren. De mensen die je phishen weten dat beter dan jij. Ze zijn niet achter het getal in je portemonnee aan. Ze zijn achter het getal aan dat je bent vergeten dat je had.