Criminosos Ignoraram Seu Cartão de Crédito e Foram Direto para Suas Milhas Aéreas

Uma conta American Airlines AAdvantage hackeada com um saldo saudável de milhas é vendida em fóruns de fraude por uma fração do valor real dessas milhas, e esse desconto é a fraude inteira. Milhas parecem dinheiro de Monopoly para você. Para quem as rouba, são inventário.

Aqui está a matemática incômoda. Seu cartão de crédito tem um departamento de fraude que envia mensagens quando uma cobrança parece estranha, um processo de chargeback e um limite legal de responsabilidade. Sua conta de fidelidade tem quase nada disso. Quando alguém esgota 200.000 pontos Hilton em uma reserva ou transfere suas milhas para um programa parceiro, nenhum banco liga. A companhia aérea não congela a conta da forma que Chase congela um cartão. O roubo parece exatamente com comportamento normal do cliente, porque resgatar pontos é comportamento normal do cliente.

Essa lacuna é por isso que "confirme sua conta de recompensas" está em alta na sua caixa de entrada.

Por que o saldo menos protegido é o mais procurado

Contas de fidelidade roubadas são negociadas ativamente em mercados clandestinos, e pesquisadores documentaram os preços. O índice da dark web contínuo da Comparitech rastreou contas hackeadas em várias categorias, com logins de recompensas e companhias aéreas sendo vendidos por alguns dólares até algumas dezenas, dependendo do saldo. Barato para comprar, fácil de lavrar em voos, noites de hotel, cartões-presente ou pontos de revenda que são movidos através de corretoras de terceiros antes de alguém notar.

A escala não é teórica. A FTC registrou mais de 330.000 relatórios de fraude relacionada a phishing em um único ano recente, e os iscas "reative sua conta" são um instrumento eficaz dessa categoria precisamente porque não precisam parecer um banco. Uma nota sobre milhas expirando ou um "login suspeito no seu perfil de recompensas" é clicada por pessoas que nunca clicariam em uma transferência bancária falsa. Você está relaxado sobre pontos. Esse relaxamento é a exploração.

E companhias aéreas foram lentas. Levou anos — e uma sequência de sequestros de conta — antes que as principais transportadoras norte-americanas implementassem autenticação multifator e adicionassem fricção nas transferências entre parceiros. Delta, United e American agora oferecem ou exigem proteções de login mais fortes, mas muitas contas ainda estão protegidas apenas por uma senha que você reutilizou em 2016.

Os sinais, porque sempre há sinais

Um email real de fidelidade quase nunca pede para você "verificar" clicando através de uma página de login. Quando um chega, faça três coisas entediantes:

• Verifique o remetente real, não o nome de exibição. "American Airlines" em negrito não significa nada; o endereço por trás dele é o que importa. Uma mensagem que falha no alinhamento SPF, DKIM ou DMARC — as três verificações que provam que um domínio realmente enviou um email — é uma falsificação não importa como o logo pareça limpo. Essa é exatamente a camada que xmail lê antes de você ver a mensagem.
• Nunca faça login a partir do email. Abra uma nova aba, digite o endereço da companhia aérea você mesmo e verifique seu saldo lá. Se o problema "urgente" não existe no site real, então não existe.
• Ative MFA e bloqueie transferências. A coisa mais valiosa que você pode fazer é tornar suas milhas imóveis sem um segundo fator.

A coisa que vale a pena considerar: você foi treinado durante uma década para proteger o cartão e ignorar os pontos. As pessoas fazendo phishing em você sabem disso melhor do que você. Eles não estão atrás do número na sua carteira. Eles estão atrás do número que você esqueceu que tinha.