Воры пропустили вашу кредитную карту и сразу перешли к авиамилям

Взломанный аккаунт American Airlines AAdvantage с приличным остатком миль продаётся на форумах мошенников за малую часть того, что стоят эти мили, и эта скидка — весь смысл махинации. Мили кажутся вам монопольными деньгами. Для того, кто их ворует, это — товар.

Вот неудобная математика. Вашу кредитную карту охраняет отдел по борьбе с мошенничеством, который отправляет вам SMS при подозрительной покупке, механизм возврата платежа и установленный законом лимит вашей ответственности. Ваш счёт лояльности практически ничего из этого не имеет. Когда кто-то списывает 200 000 баллов Hilton в бронирование или переводит ваши мили в партнёрскую программу, банк не звонит. Авиакомпания не блокирует аккаунт так, как Chase блокирует карту. Кража выглядит ровно так же, как нормальное поведение клиента, потому что обмен баллов и есть нормальное поведение клиента.

Именно эта разница объясняет, почему «подтвердите ваш счёт вознаграждения» в последнее время частенько попадает вам в почту.

Почему наименее защищённый остаток — это самый востребованный

Украденные счета лояльности активно торгуются на подпольных рынках, и исследователи задокументировали расценки. Постоянный индекс тёмной сети Comparitech отслеживает взломанные аккаунты по категориям, и логины учётов вознаграждений и авиакомпаний продаются от нескольких долларов до нескольких десятков в зависимости от остатка. Дёшево купить, легко конвертировать в перелёты, ночи в отелях, подарочные карты или баллы для перепродажи, которые потом перемещаются через посредников третьих сторон, прежде чем кто-нибудь заметит.

Масштаб — это не теория. FTC зарегистрировала более 330 000 сообщений о мошенничестве, связанном с фишингом, за один недавний год, а приманки типа «переактивируйте свой аккаунт» — это рабочая лошадка этой категории именно потому, что они не обязаны выглядеть как письмо от банка. Заметка об истечении сроков миль или «подозрительный вход в ваш профиль вознаграждения» будет нажата людьми, которые никогда не нажали бы на поддельный перевод средств. Вы спокойны относительно баллов. Это спокойствие и есть уязвимость.

А авиакомпании реагировали медленно. Потребовались годы — и серия взломов аккаунтов — прежде чем крупные американские перевозчики внедрили многофакторную аутентификацию и добавили сложности при переводах в партнёрские программы. Delta, United и American теперь предлагают или требуют более надёжную защиту при входе, но множество аккаунтов всё ещё защищены только паролем, который вы переиспользовали ещё в 2016 году.

Признаки, потому что они всегда есть

Настоящее письмо программы лояльности почти никогда не просит вас «подтвердить» данные, кликнув на страницу входа. Когда такое письмо приходит, сделайте три скучных шага:

• Проверьте фактического отправителя, а не отображаемое имя. «American Airlines» жирным шрифтом ничего не значит; адрес за ним — вот что значит. Сообщение, которое не прошло проверку SPF, DKIM или DMARC — три проверки, которые подтверждают, что домен действительно отправил письмо, — это подделка, независимо от того, как красиво выглядит логотип. Это именно тот слой, который xmail проверяет до того, как вы вообще увидите сообщение.
• Никогда не входите по ссылке из письма. Откройте новую вкладку, сами введите адрес авиакомпании и проверьте остаток там. Если «срочная» проблема не существует на настоящем сайте, то она не существует вообще.
• Включите MFA и заблокируйте переводы. Самое ценное, что вы можете сделать, — это сделать ваши мили недвижимыми без второго фактора аутентификации.

Стоит задуматься вот о чём: вас учили целое десятилетие охранять карту и игнорировать баллы. Те, кто вас фишит, это знают лучше, чем вы. Они охотятся не за номером в вашем кошельке. Они охотятся за номером, который вы забыли, что у вас есть.