Hoții au omis cartela de credit și au mers direct după milele tale de zbor

Un cont American Airlines AAdvantage hackluit cu un sold de mile sănătos se vinde pe forumurile de fraudă pentru o fracțiune din valoarea reală a acelor mile, iar reducerea asta este întreaga escrocherie. Milele ți se par bani Monopoly. Pentru cineva care le fură, sunt inventar.

Iată matematica neplăcută. Cartela ta de credit are un departament de fraudă care îți trimite mesaje când o plată arată ciudat, un proces de retrocharj și o limită legală a răspunderii tale. Contul de loialitate al tău nu are aproape nimic din asta. Când cineva golește 200.000 de puncte Hilton într-o rezervare sau transferă milele tale într-un program partener, nicio bancă nu te sună. Linia aeriană nu blochează contul cum Chase blochează o carte. Furtul arată exact ca un comportament normal de client, pentru că răscumpărarea de puncte este comportament normal de client.

Această diferență este motivul pentru care „confirmă-ți contul de recompense" are un moment în cutia ta de mesaje.

De ce soldul cel mai prost păzit este și cel mai căutat

Conturile de loialitate furate se tranzacționează activ pe piețele clandestine, iar cercetătorii au documentat prețurile. Indexul dark-web în curs al Comparitech a urmărit conturile hackkluite pe categorii, cu credențiale de linii aeriene și recompense variind de la câteva dolari până la câteva zeci în funcție de sold. Ieftine de cumpărat, ușor de transferat în zboruri, nopți de hotel, carduri cadou sau puncte de recompense care sunt deplasate prin brokeri terți înainte ca cineva să observe.

Scara nu este teoretică. FTC a înregistrat mai mult de 330.000 de rapoarte de fraudă legate de phishing într-un singur an recent, iar tentele „reactivează-ți contul" sunt o unealtă de bază a acestei categorii tocmai pentru că nu trebuie să arate ca o bancă. O notă despre mile care expiră sau o „conectare suspectă pe profilul tău de recompense" este deschisă de oameni care nu ar deschide niciodată un transfer de bani fals. Ești relaxat în privința punctelor. Acea relaxare este exploatarea.

Și liniile aeriene au fost lente. A durat ani — și o serie de preluări de conturi — înainte ca marile companii aeriene americane să promoveze autentificarea multi-factor și să pună fricțiune pe transferurile cu parteneri. Delta, United și American oferă cu toții sau impun protecții de conectare mai puternice, dar o mulțime de conturi stau în continuare în spatele unei parole pe care ai reutilizat-o în 2016.

Indiciile, pentru că indiciile există întotdeauna

Un email real de loialitate aproape niciodată nu te cere să „verifici" făcând clic pentru a te conecta. Când unul sosește, fă trei lucruri plictisitoare:

• Verifică expeditorul real, nu numele afișat. „American Airlines" în bold nu înseamnă nimic; adresa din spatele lui semnifică. Un mesaj care eșuează în alinierea SPF, DKIM sau DMARC — cele trei verificări care dovedesc că un domeniu a trimis cu adevărat un email — este o falsificare indiferent cât de curat arată logourile. Aceasta este exact nivelul pe care xmail îl citește înainte ca tu să vezi vreodată mesajul.
• Nu te conecta din email. Deschide o filă nouă, tastează adresa liniei aeriene tu însuți și verifică-ți soldul acolo. Dacă problema „urgentă" nu există pe site-ul real, nu există.
• Activează MFA și blochează transferurile. Cel mai valoros lucru pe care îl poți face este să-ți faci milele nemișcabile fără un al doilea factor.

Lucrul care merită să stai cu el: ai fost antrenat timp de o decadă să pazești cartela și să ignori punctele. Oamenii care te fac phishing știu asta mai bine decât tu. Nu sunt după numărul din portofelul tău. Sunt după numărul pe care ai uitat că îl ai.