क्रेडेंशियल स्टफिंग अटैक: ख़त्म हुए एयरलाइन मील, होटल पॉइंट और संग्रहित उपहार कार्ड शेष¶

ईमेल अलर्ट से जागते हुए कि किसी ने आपकी एयरलाइन के 180,000 फ़्रीक्वेंट-फ़्लायर मील का उपयोग करके एक-तरफ़ा अंतर्राष्ट्रीय बिजनेस-क्लास उड़ान बुक की है, 250,000 होटल लॉयल्टी पॉइंट किसी अजनबी के खाते में स्थानांतरित कर दिए हैं, या आपके संग्रहीत स्टारबक्स, टारगेट, वॉलमार्ट, सेफोरा, या अमेज़ॅन उपहार कार्ड की शेष राशि को खाली कर दिया है, जबकि आपका भौतिक क्रेडिट कार्ड अभी भी आपके बटुए में सुरक्षित है, एक स्वचालित क्रेडेंशियल स्टफिंग अटैक का हस्ताक्षर है। लक्षित भाला-फ़िशिंग हमले या ए के विपरीत बैंक खाते का उल्लंघन, क्रेडेंशियल स्टफिंग स्वचालित बॉटनेट सॉफ़्टवेयर का उपयोग करती है (OpenBullet, SilverBullet, Sentry MBA, आवासीय प्रॉक्सी नेटवर्क के साथ जोड़ा गया) लाखों लीक हुए ईमेल-और-पासवर्ड संयोजनों (अतीत से "कॉम्बो सूचियाँ") का परीक्षण करने के लिए डेटा उल्लंघन और पासवर्ड लीक) एक साथ सैकड़ों एयरलाइन, होटल, रेस्तरां, गेमिंग और रिटेल लॉयल्टी पोर्टल के विरुद्ध। साइबर अपराधी विशेष रूप से फ़्रीक्वेंट-फ़्लायर खातों को लक्षित करते हैं (Delta SkyMiles, American Airlines AAdvantage, United MileagePlus, British Airways Executive Club, Air Canada Aeroplan, Qantas Frequent Flyer), होटल पुरस्कार (Marriott Bonvoy, Hilton Honors, World of Hyatt, IHG One Rewards), और कॉफ़ी/फ़ास्ट-फ़ूड/रिटेल ऐप्स (Starbucks, Chick-fil-A, Dunkin', Target Circle, Walmart, Ulta, Sephora) क्योंकि इन कार्यक्रमों में अनियमित "अर्ध-मुद्रा" में हजारों डॉलर होते हैं जिन्हें डिजिटल उपहार कार्ड, ऐप्पल इलेक्ट्रॉनिक्स, या उसी दिन के एयरलाइन टिकटों में 90 सेकंड के अंदर भुनाया जा सकता है, अक्सर शून्य अनिवार्य मल्टी-फैक्टर प्रमाणीकरण के साथ (MFA) डिफ़ॉल्ट रूप से सक्षम। यदि आप भी ठीक उसी समय अपने इनबॉक्स में सैकड़ों जंक न्यूज़लेटर साइनअप भरते हुए देखते हैं, तो हमलावर वैध उड़ान-मोचन या उपहार-कार्ड रसीद ईमेल को दफनाने के लिए ईमेल बमबारी / सदस्यता बाढ़ चला रहा है; पर हमारी मार्गदर्शिका देखें ईमेल खाता हैक हो गया, अग्रेषण नियम और पुनर्प्राप्ति तुरंत. यदि आप तत्काल जबरन वसूली या शारीरिक धमकी का सामना कर रहे हैं, तो अपने स्थानीय आपातकालीन नंबर पर कॉल करें (911 संयुक्त राज्य अमेरिका और कनाडा में, 112 पूरे यूरोपीय संघ में, 999 यूनाइटेड किंगडम में) या अंतरराष्ट्रीय की हमारी निर्देशिका से परामर्श लें आपातकालीन नंबर.

अभी ऐसा करो¶

1. 500 स्पैम ईमेल ("ईमेल बम") की अचानक बाढ़ को हटाने से पहले, शब्दों के लिए अपने इनबॉक्स, स्पैम और ट्रैश फ़ोल्डर खोजें "Redemption", "Points", "Miles", "Ticket", "eGift", "Order", "Transfer", या "Added a payment": जब भी कोई क्रेडेंशियल-स्टफिंग बॉट किसी एयरलाइन, होटल या रिटेल खाते को सफलतापूर्वक खाली कर देता है, तो हमलावर तुरंत एक स्क्रिप्ट ट्रिगर करता है जो आपके ईमेल पते को 3 मिनट में 500 से 2,000 रैंडम मेलिंग सूचियों के लिए साइन अप करता है, ताकि आप एकल वास्तविक रसीद दिखाने से चूक जाएं कौन सा लॉयल्टी खाता अभी खाली किया गया था। पहले 2 घंटों के भीतर उस एकल अधिसूचना को ढूंढने से आप हैकर के उड़ान टिकट को रद्द कर सकते हैं या डिजिटल उपहार कार्ड को ** यात्री के विमान में चढ़ने या बारकोड को भुनाने से पहले फ्रीज कर सकते हैं**।
2. एक साफ ब्राउज़र पर समझौता किए गए एयरलाइन, होटल, या खुदरा लॉयल्टी खाते में लॉग इन करें, पासवर्ड को बिल्कुल नए 16+ वर्ण के यादृच्छिक पासवर्ड में बदलें, और सभी सहेजे गए क्रेडिट/डेबिट कार्ड और लिंक किए गए पेपाल/वेनमो/एप्पल पे टोकन हटा दें:
3. आपके संचित मील या उपहार कार्ड की शेष राशि खर्च करने के अलावा, क्रेडेंशियल-स्टफिंग स्क्रिप्ट यह जांचती है कि क्या "ऑटो-रीलोड" (Starbucks / Dunkin' / Toll Pass) या एक-क्लिक संग्रहीत क्रेडिट कार्ड चेकआउट सक्षम किया गया है ताकि वे आपके लिंक किए गए वीज़ा/मास्टरकार्ड से अतिरिक्त $100 से $500 को ऐप के उपहार कार्ड शेष में पंप कर सकें और उसे भी ख़त्म कर सकें।
4. वफादारी खाते के अंदर "आगामी यात्राएं/आरक्षण/ऑर्डर/प्वाइंट गतिविधि" टैब का निरीक्षण करें, और यदि प्रोग्राम पुनः जमा शुल्क लेता है या हैकर अभी भी एक सक्रिय मोबाइल सत्र के माध्यम से नियंत्रण करता है तो उस खाते में अंक वापस भेजता है, तो ऑनलाइन धोखाधड़ी वाली इनाम उड़ान या होटल बुकिंग को स्वयं रद्द न करें:
5. इसके बजाय, 6-अक्षर वाला एयरलाइन यात्री नाम रिकॉर्ड लिखें (PNR / पुष्टिकरण कोड), 13-अंकीय ई-टिकट नंबर (उदाहरण के लिए, 001-... अमेरिकी के लिए, 006-... डेल्टा के लिए, 016-... यूनाइटेड के लिए, 125-... ब्रिटिश एयरवेज़ के लिए), यात्री का नाम जिसके तहत हैकर ने टिकट बुक किया है, या होटल कन्फर्मेशन नंबर / गिफ्ट कार्ड ऑर्डर नंबर, और लॉयल्टी प्रोग्राम के समर्पित फ्रॉड / रेवेन्यू प्रोटेक्शन डेस्क पर तुरंत कॉल करें।
6. जाँचें कि क्या हमलावर ने द्वितीयक पुनर्प्राप्ति ईमेल, फ़ोन नंबर बदल दिया है, या आपकी लॉयल्टी प्रोफ़ाइल के अंदर "परिवार/घरेलू पूलिंग/रिडेम्पशन नॉमिनी" सदस्य जोड़ा है:
7. जैसे कार्यक्रम British Airways Executive Club, JetBlue TrueBlue, Hilton Honors, Marriott Bonvoy, Air Canada Aeroplan, और Qantas खातों को घरेलू खाता/प्वाइंट पूलिंग पार्टनर या ट्रांसफर लाभार्थी को लिंक करने की अनुमति दें। हमलावर अपने स्वयं के खच्चर खाते को आपके पूल से लिंक करते हैं, आपके अंक पूल में डालते हैं, और आपके पासवर्ड बदलने के बाद भी जुड़े रहते हैं जब तक कि आप स्पष्ट रूप से ऑडिट नहीं करते हैं और घरेलू पूल को भंग नहीं करते हैं।
8. यदि "ऑटो-रीलोड" या संग्रहीत कार्ड से शुल्क लिया गया हो तो तुरंत अपने बैंक या क्रेडिट कार्ड जारीकर्ता को कॉल करें: धोखाधड़ी विभाग को सूचित करें कि आपका मर्चेंट ऐप खाता क्रेडेंशियल स्टफिंग के माध्यम से ले लिया गया था (Unauthorized Card-Not-Present Transaction), तत्काल कार्ड नंबर बदलने का अनुरोध करें, और उनसे व्यापारी के वीज़ा/मास्टरकार्ड खाता अपडेटर को रद्द करने के लिए कहें (VAU/ABU) टोकन ताकि आपका नया प्रतिस्थापन कार्ड नंबर स्वचालित रूप से समझौता किए गए रिटेल ऐप में वापस न भेजा जाए।
9. हर दूसरे खाते को ढूंढें जहां आपने कभी भी उसी पासवर्ड (या समान पासवर्ड) का उपयोग किया हो Summer2024 -> Summer2025) और पासवर्ड मैनेजर का उपयोग करके उन्हें तुरंत घुमाएं: एक बार जब आपका ईमेल और पासवर्ड जोड़ा एक सक्रिय क्रेडेंशियल-स्टफिंग बॉटनेट कॉम्बो सूची में पहुंच जाता है, तो स्वचालित बॉट अगले 24 से 72 घंटों के भीतर 300 से अधिक शीर्ष वेबसाइटों (एयरलाइंस, होटल, टिकटमास्टर/स्टबहब जैसी टिकटिंग साइटें, डोरडैश/उबर ईट्स जैसे खाद्य वितरण ऐप, क्रिप्टो एक्सचेंज और खुदरा स्टोर) के खिलाफ उस सटीक पासवर्ड का परीक्षण करेंगे।

निर्णय वृक्ष: क्रेडेंशियल-स्टफिंग लॉयल्टी या रिटेल ड्रेन को आज़माना और उलटना¶

सक्रिय बिंदु नाली या संग्रहीत-शेष राशि की चोरी को रोकने और अपना शेष पुनर्प्राप्त करने के लिए इस वर्कफ़्लो का उपयोग करें:

flowchart TD
    Alert["चेतावनी: अनधिकृत माइल्स/प्वाइंट रिडेम्पशन, संग्रहीत उपहार कार्ड की निकासी, या 500+ जंक न्यूज़लेटर ईमेल की अचानक बाढ़"] --> SearchBomb["चरण 1: 'रिडेम्पशन', 'माइल्स', 'पॉइंट्स', 'टिकट', 'ऑर्डर', 'रीलोड', या 'चेंज्ड ईमेल' के लिए ईमेल इनबॉक्स + ट्रैश + स्पैम खोजें"]

    SearchBomb --> TargetType{"क्रेडेंशियल-स्टफिंग बॉट द्वारा किस प्रकार के खाते का उल्लंघन किया गया था?"}

    TargetType -->|"एयरलाइन फ़्रीक्वेंट फ़्लायर (डेल्टा, एए, यूनाइटेड, बीए, एयरोप्लान, क्वांटास)"| AirlinePath["चरण 2ए: दुष्ट पीएनआर रिकॉर्ड करें + यात्री का नाम -> पासवर्ड बदलें + एमएफए सक्षम करें -> टिकट रद्द करने और खाते को फ्रीज करने के लिए एयरलाइन धोखाधड़ी / राजस्व संरक्षण डेस्क को कॉल करें"]

    TargetType -->|"होटल लॉयल्टी (मैरियट बॉनवॉय, हिल्टन ऑनर्स, हयात, आईएचजी)"| HotelPath["चरण 2बी: प्वाइंट ट्रांसफर/गिफ्ट कार्ड कैशआउट/रूम बुकिंग के लिए 'प्वाइंट गतिविधि' की जांच करें -> 'प्वाइंट पूलिंग' को भंग करें -> रिवर्स ट्रांसफर के लिए लॉयल्टी फ्रॉड टीम को कॉल करें"]

    TargetType -->|"कॉफ़ी/फ़ास्ट-फ़ूड/रिटेल ऐप (स्टारबक्स, टारगेट, वॉलमार्ट, सेफ़ोरा, चिक-फ़िल-ए)"| RetailPath["चरण 2सी: सहेजे गए क्रेडिट कार्ड हटाएं + 'ऑटो-रीलोड' को तुरंत बंद करें -> समझौता किए गए वर्चुअल गिफ्ट कार्ड बारकोड को निष्क्रिय करने और शेष राशि को फिर से जारी करने के लिए ग्राहक सहायता को कॉल करें"]

    AirlinePath --> AuditEmail["चरण 3: दुष्ट अग्रेषण नियमों या वफादारी ईमेल को हटाने वाले फ़िल्टर के लिए अपने प्राथमिक ईमेल खाते (जीमेल/आउटलुक/याहू) का ऑडिट करें"]
    HotelPath --> AuditEmail
    RetailPath --> AuditEmail

    AuditEmail --> RotateAll["चरण 4: पासवर्ड मैनेजर + पासकीज़ / टीओटीपी 2एफए का उपयोग करके पुन: उपयोग किए गए पासवर्ड को साझा करने वाले प्रत्येक खाते को घुमाएं"]

कैसे क्रेडेंशियल-स्टफिंग बॉट 90 सेकंड से कम समय में मील, पॉइंट और गिफ्ट कार्ड को कैश कर देते हैं¶

क्रेडेंशियल-स्टफिंग हमले के सटीक यांत्रिकी को समझने से पता चलता है कि क्यों वर्षों से अछूते रहे खाते अचानक 02:00 बजे खाली हो जाते हैं:

1. कॉम्बो-लिस्ट बॉट्स के लिए लॉयल्टी और रिटेल खाते #1 लक्ष्य क्यों हैं?¶

जब किसी प्रमुख वेबसाइट को डेटा उल्लंघन का सामना करना पड़ता है, तो लाखों लोग email:password जोड़ियों को कॉम्बो सूचियाँ नामक टेक्स्ट फ़ाइलों में संकलित किया जाता है। हमलावर इन कॉम्बो सूचियों को हाई-स्पीड हेडलेस ब्राउज़र ऑटोमेशन टूल में लोड करते हैं (OpenBullet 2 / SilverBullet) कॉन्फ़िगर फ़ाइलों का उपयोग करना (.anom / .loli / .opk) विशिष्ट एयरलाइन, होटल और खुदरा एपीआई के लिए कस्टम-लिखित: 1. चरण 1 (स्वचालित "कैप्चर" स्कैनिंग): बॉट परीक्षण 50,000 लीक email:password मोबाइल ऐप लॉगिन एपीआई के विरुद्ध घूर्णन आवासीय प्रॉक्सी के माध्यम से जोड़े प्रति मिनट Marriott, Hilton, American Airlines, United, Delta, Starbucks, Target, या Sephora. 2. चरण 2 (स्वचालित बैलेंस पार्सिंग): जब भी कोई लॉगिन सफल होता है (क्योंकि पीड़ित ने उसी पासवर्ड का पुन: उपयोग किया है जो उन्होंने 4 साल पहले उल्लंघन किए गए फोरम या शॉपिंग साइट पर इस्तेमाल किया था), बॉट की स्क्रिप्ट स्वचालित रूप से खाते के प्वाइंट/माइल बैलेंस, संग्रहीत उपहार कार्ड मूल्य, और सेव्ड क्रेडिट कार्ड अंतिम-4 अंक को स्क्रैप कर देती है, हिट को स्तरों में क्रमबद्ध करती है (उदाहरण के लिए, "100,000+ Miles" या "$50+ Gift Card"). 3. चरण 3 (त्वरित मुद्रीकरण/कैशआउट): - उपहार कार्ड रूपांतरण पोर्टल (Points-to-Gift-Card): कई होटल, एयरलाइन और क्रेडिट-कार्ड लॉयल्टी पोर्टल ईमेल के माध्यम से भेजे गए डिजिटल एप्पल, बेस्ट बाय, अमेज़ॅन, टारगेट, वॉलमार्ट, या वीज़ा ईगिफ्ट कार्ड के लिए तुरंत ऑनलाइन पॉइंट रिडेम्प्शन की अनुमति देते हैं, जिसे हमलावर इंटरसेप्ट या रीडायरेक्ट करता है। - प्वाइंट ट्रांसफर और घरेलू पूल: हमलावर आपका ट्रांसफर करता है Hilton Honors, Marriott Bonvoy, या Airline एक "खच्चर" लॉयल्टी खाते की ओर इंगित करता है, या आपके खाते को घरेलू पूल से लिंक करता है और उन्हें खच्चर के लॉगिन से भुनाता है। - उसी दिन/अगले दिन अंतर्राष्ट्रीय पुरस्कार उड़ानें और लक्जरी होटल में ठहरना: भूमिगत टेलीग्राम यात्रा-धोखाधड़ी सिंडिकेट आपके अपहृत खाते को 150,000 मील के साथ ले लेते हैं और तीसरे पक्ष के खरीदार के लिए उसी दिन की अंतरराष्ट्रीय उड़ान या 5-रात के लक्जरी होटल में ठहरने की बुकिंग करते हैं, जो हैकर को क्रिप्टोकरेंसी में डॉलर पर 30 सेंट का भुगतान करते हैं। - इन-स्टोर मोबाइल बारकोड ड्रेनिंग (Starbucks, Target Wallet, Walmart Pay, Sephora, Ulta): खुदरा और कॉफी ऐप्स के लिए, बॉट आपके संग्रहीत उपहार-कार्ड बारकोड नंबर/क्यूआर कोड को निकालता है (या सेल्फ-चेकआउट रजिस्टर पर बर्नर फोन पर सीधे आपके ऐप में लॉग इन करता है), आपके सहेजे गए वीज़ा/मास्टरकार्ड से ऑटो-रीलोड चालू करता है, और स्टोर में उच्च-पुनर्विक्रय माल या भौतिक उपहार कार्ड खरीदता है।

2. आपको ईमेल अलर्ट क्यों नहीं मिला: "ईमेल बम" और इनबॉक्स फ़िल्टर ट्रिक¶

जब कोई हमलावर आपके अंक भुनाता है, तो लॉयल्टी प्लेटफ़ॉर्म हमेशा एक स्वचालित पुष्टिकरण ईमेल भेजता है ("Your Marriott Bonvoy Points Transfer is Complete" या "Your Delta eTicket Receipt"). एयरलाइन को कॉल करने और टेकऑफ़ से पहले टिकट रद्द करने के लिए आपको उस ईमेल को देखने से रोकने के लिए, हमलावर दो युक्तियों का उपयोग करते हैं: - ट्रिक ए (यदि उनके पास आपके ईमेल खाते तक पहुंच नहीं है): वे एक सदस्यता बम लॉन्च करते हैं (Email Bomb), 120 सेकंड के भीतर दुनिया भर में 1,000+ अप्रमाणित वेबसाइट न्यूज़लेटर साइनअप फॉर्म में अपना ईमेल पता सबमिट करने के लिए स्वचालित स्क्रिप्ट का उपयोग करें। आपका फ़ोन 1,000 के साथ लगातार बजता रहता है "Confirm your subscription to..." 10 मिनट में ईमेल, जिसके कारण अधिकांश लोग सभी 1,000 ईमेल का चयन करते हैं और डिलीट दबाते हैं, जिससे लाइन 412 पर छिपा हुआ एकमात्र वास्तविक एयरलाइन या बैंक धोखाधड़ी अलर्ट गलती से हट जाता है। - ट्रिक बी (यदि आपने अपने ईमेल खाते पर भी बिल्कुल वही पासवर्ड इस्तेमाल किया है): हमलावर सीधे आपके जीमेल, आउटलुक या याहू मेल में लॉग इन करता है, एक अदृश्य इनबॉक्स नियम / फ़िल्टर बनाता है।If sender contains "delta.com", "marriott.com", "hilton.com", or "starbucks.com" -> Skip Inbox and Delete It / Move to Trash), और आपके ट्रैश फ़ोल्डर को खाली कर देता है ताकि आप कभी भी एक भी अधिसूचना न देख सकें।

चरण 1: जले हुए एयरलाइन मील और होटल पॉइंट को उलटना (प्रदाता-दर-प्रदाता प्लेबुक)¶

वायर ट्रांसफ़र या क्रिप्टोकरेंसी लेनदेन (जो एक बार चेन पर तय होने के बाद अपरिवर्तनीय हैं) के विपरीत, एयरलाइन मील, होटल पॉइंट और आंतरिक खुदरा उपहार कार्ड कंपनी द्वारा 100 प्रतिशत नियंत्रित एक केंद्रीकृत रिलेशनल डेटाबेस के अंदर बैठते हैं। भले ही हैकर ने आपके पॉइंट पहले ही किसी अन्य सदस्य को स्थानांतरित कर दिए हों या पुरस्कार उड़ान टिकट जारी कर दिया हो, एयरलाइन या होटल की कॉर्पोरेट धोखाधड़ी / राजस्व सुरक्षा जांच टीम सटीक गंतव्य खाते का पता लगा सकती है, टिकट रद्द कर सकती है या स्थानांतरित कर सकती है, प्राप्तकर्ता के पासपोर्ट/खाते पर प्रतिबंध लगा सकती है, और आपके चुराए गए मील या पॉइंट का 100 प्रतिशत एक नए जारी किए गए, स्वच्छ लॉयल्टी अकाउंट नंबर में बहाल कर सकती है।

अपने लॉयल्टी कार्यक्रम के लिए नीचे दिए गए विशिष्ट पुनर्प्राप्ति चरणों का पालन करें:

चरण 2: "ऑटो-रीलोड" और सेव्ड पेमेंट टोकन ड्रेन को रोकना¶

रिटेल और कॉफ़ी-ऐप क्रेडेंशियल स्टफिंग के कई पीड़ित अपने संग्रहीत लॉयल्टी पॉइंट के अलावा अपने बैंक चेकिंग खाते या क्रेडिट कार्ड से वास्तविक नकदी खो देते हैं। यहां बताया गया है कि ऑटो-रीलोड और टोकनाइज्ड वॉलेट ड्रेन कैसे काम करता है और इसे कैसे बंद किया जाए:

1. हमलावर "ऑटो-रीलोड" और "स्कैन और भुगतान" का कैसे फायदा उठाते हैं:
2. जैसे ऐप्स में Starbucks, Dunkin', Chick-fil-A, Panera, EZ-Pass / Toll Tag accounts, और ट्रांज़िट कार्ड, उपयोगकर्ता अक्सर अपने संग्रहीत शेष को रिचार्ज करने के लिए क्रेडिट कार्ड या पेपैल खाता सहेजते हैं।
3. भले ही हैकर द्वारा लॉग इन करने पर आपके स्टारबक्स कार्ड पर केवल \(4.50** हो, हैकर आपके सहेजे गए वीज़ा/मास्टरकार्ड/पेपैल टोकन का उपयोग करके लगातार पांच बार **"\)100.00 पुनः लोड करें" टैप करता है (जो अक्सर 3-अंकीय के लिए नहीं संकेत देता है) CVV मौजूदा प्रथम-पक्ष उपहार कार्ड शेष को पुनः लोड करते समय कोड), फिर तुरंत उस $500 शेष को एक अलग वर्चुअल कार्ड पर स्थानांतरित कर देता है या इसे एक रजिस्टर में खर्च कर देता है।
4. सिर्फ अपना क्रेडिट कार्ड नंबर बदलना कभी-कभी पर्याप्त क्यों नहीं होता (Visa VAU / Mastercard ABU):
5. जब आप किसी धोखाधड़ी के आरोप की रिपोर्ट करने के लिए अपने बैंक को कॉल करते हैं और वे आपको एक नए 16-अंकीय नंबर के साथ एक नया क्रेडिट कार्ड भेजते हैं, तो वीज़ा (वीज़ा अकाउंट अपडेटर) VAU) और मास्टरकार्ड (स्वचालित बिलिंग अपडेटर ABU) स्वचालित रूप से आपके ब्रांड-नए 16-अंकीय कार्ड नंबर को आवर्ती व्यापारियों और मोबाइल वॉलेट में भेज दें जहां आपका पुराना कार्ड संग्रहीत था।
6. यदि हमलावर के पास अभी भी आपके समझौता किए गए खुदरा या खाद्य-डिलीवरी ऐप के अंदर एक सक्रिय OAuth सत्र टोकन है, तो आपका ब्रांड-नया प्रतिस्थापन कार्ड आपके भौतिक कार्ड के आपके मेलबॉक्स में आने से पहले ही हैक किए गए ऐप के अंदर दिखाई दे सकता है।
7. अपने बैंक को क्या बताएं: जब भी सहेजे गए कार्ड वाला कोई व्यापारी खाता हैक हो जाए, तो अपने बैंक के धोखाधड़ी विशेषज्ञ को बताएं: > *"कृपया मेरा कार्ड रद्द करें, इससे जुड़े सभी मौजूदा डिजिटल मर्चेंट भुगतान टोकन रद्द करें [Merchant Name], और वीज़ा खाता अपडेटर / मास्टरकार्ड स्वचालित बिलिंग अपडेटर पर एक अस्थायी ऑप्ट-आउट ब्लॉक रखें ताकि मेरा नया कार्ड नंबर स्वचालित रूप से समझौता किए गए व्यापारी को न भेजा जाए।

चरण 3: समवर्ती समझौता और इनबॉक्स नियमों के लिए अपने ईमेल खाते का ऑडिट करना¶

क्योंकि 65 प्रतिशत लोग कई खातों में एक ही पासवर्ड का पुन: उपयोग करते हैं, जब भी कोई क्रेडेंशियल-स्टफिंग बॉट आपके एयरलाइन, होटल, या खुदरा खाते में सेंध लगाता है, ** आपको तुरंत जांच करनी चाहिए कि क्या वही बॉट आपके प्राथमिक ईमेल खाते में भी लॉग इन हुआ है (Gmail, Outlook / Hotmail, Yahoo, iCloud, AOL)**:

1. अपने ईमेल खाते पर सक्रिय साइन-इन लॉग जांचें:
2. जीमेल: अपने इनबॉक्स के नीचे दाईं ओर स्क्रॉल करें और विवरण पर क्लिक करें (Last account activity), या जाएँ myaccount.google.com/device-activity.
3. माइक्रोसॉफ्ट आउटलुक/हॉटमेल/लाइव: विजिट करें account.live.com/Activity और प्रत्येक हालिया साइन-इन प्रयास का निरीक्षण करें (आप अक्सर विदेशी आवासीय आईपी पते से दर्जनों असफल और सफल आईएमएपी/पीओपी3/एक्सचेंज क्रेडेंशियल-स्टफिंग प्रयास देखेंगे)।
4. याहू मेल: खाता जानकारी > हाल की गतिविधि पर जाएं।
5. अभी अपना ईमेल अग्रेषण और ऑटो-डिलीट फ़िल्टर नियम जांचें:
6. डेस्कटॉप वेब ब्राउज़र पर अपनी ईमेल सेटिंग खोलें (मोबाइल मेल ऐप्स फ़िल्टर नियम छिपाते हैं):
   • जीमेल: सेटिंग्स (गियर आइकन) > सभी सेटिंग्स देखें > फ़िल्टर और अवरुद्ध पते और फ़ॉरवर्डिंग और पीओपी/आईएमएपी।
   • Outlook.com: सेटिंग्स (गियर आइकन) > मेल > नियम और मेल > अग्रेषण और मेल > जंक ईमेल > अवरुद्ध प्रेषक और डोमेन।
   • याहू मेल: सेटिंग्स > अधिक सेटिंग्स > फिल्टर।
7. कोई भी नियम खोजें जो कहता हो: If From/Subject contains [Airline / Hotel / Bank / PayPal / Amazon / "Security" / "Code"] -> Delete it / Mark as Read / Move to Trash / Archive. प्रत्येक दुष्ट फ़िल्टर को तुरंत हटा दें।
8. ईमेल निवारण की पूरी जानकारी के लिए, हमारे गाइड का अनुसरण करें ईमेल खाता हैक हो गया, अग्रेषण नियम और पुनर्प्राप्ति.

चरण 4: आपके संपूर्ण डिजिटल जीवन में पासवर्ड के पुन: उपयोग को समाप्त करना¶

क्रेडेंशियल-स्टफिंग अटैक केवल एक शर्त के तहत काम करता है: आपने उस लॉयल्टी या रिटेल साइट पर एक पासवर्ड का उपयोग किया था जो पहले डेटा उल्लंघन में दिखाई दिया था (या एक शब्दकोश उत्परिवर्तन नियम द्वारा आसानी से अनुमान लगाया गया था)।

अपने सभी खातों में क्रेडेंशियल स्टफिंग से खुद को स्थायी रूप से सुरक्षित रखने के लिए, इस 5-चरणीय हार्डनिंग चेकलिस्ट को पूरा करें:

• 1. अपना ईमेल पता चलाएं Have I Been Pwned (haveibeenpwned.com):
• अपना व्यक्तिगत और कार्यस्थल ईमेल पता यहां दर्ज करें haveibeenpwned.com यह देखने के लिए कि कौन से ऐतिहासिक डेटा उल्लंघनों ने आपकी साख को उजागर किया है।
• 2. अपना ब्राउज़र/पासवर्ड मैनेजर खोलें "पासवर्ड चेकअप" ऑडिट करें और प्रत्येक पुन: उपयोग किए गए पासवर्ड को पहले बदलें:
• एप्पल पासवर्ड (iOS 18 / macOS Sequoia या Settings > Passwords > Security Recommendations), गूगल पासवर्ड मैनेजर (passwords.google.com/checkup), 1पासवर्ड (Watchtower), और बिटवर्डन (Vault Health Reports) स्वचालित रूप से आपके सभी सहेजे गए लॉगिन को "समझौता पासवर्ड" और "पुन: उपयोग किए गए पासवर्ड" में समूहित करें।
• अपने पुन: उपयोग किए गए पासवर्ड को वित्तीय/मूल्य जोखिम के आधार पर क्रमबद्ध करें और प्रत्येक को एक अद्वितीय, यादृच्छिक रूप से उत्पन्न 16-से-24-अक्षर वाले पासवर्ड (या 4-शब्द यादृच्छिक पासफ़्रेज़ जैसे) से बदलें correct-horse-battery-staple):
  1. प्राथमिक ईमेल खाते (Gmail, Outlook, Yahoo, iCloud)
  2. बैंक, ब्रोकरेज और भुगतान ऐप्स (PayPal, Venmo, Cash App, Zelle)
  3. एयरलाइन फ़्रीक्वेंट-फ़्लायर और होटल लॉयल्टी खाते (Delta, AA, United, BA, Marriott, Hilton, Hyatt)
  4. संगृहीत कार्ड/शेष राशि के साथ खुदरा, टिकटिंग और खाद्य वितरण ऐप्स (Amazon, Target, Walmart, Starbucks, Ticketmaster, Uber, DoorDash, Sephora, Ulta)
• 3. मल्टी-फैक्टर प्रमाणीकरण चालू करें (MFA) या इसका समर्थन करने वाले प्रत्येक लॉयल्टी और खुदरा खाते पर पासकीज़:
• कई उपयोगकर्ता अपने बैंक और ईमेल पर 2FA सक्षम करते हैं लेकिन यह भूल जाते हैं Delta SkyMiles, American Airlines, United MileagePlus, British Airways, Air Canada Aeroplan, Marriott Bonvoy, Hilton Honors, Hyatt, Amazon, Target, Walmart, Starbucks, और Ticketmaster अब 2FA या पासकी का समर्थन करता है, फिर भी कई लोग डिफ़ॉल्ट रूप से 2FA बंद छोड़ देते हैं जब तक कि आप इसे खाता सुरक्षा सेटिंग्स के अंदर मैन्युअल रूप से चालू नहीं करते।
• 4. कैज़ुअल फ़ूड, कॉफ़ी, या रिटेल ऐप्स के अंदर कभी भी क्रेडिट कार्ड या डेबिट कार्ड सेव न करें:
• अपने कच्चे 16-अंकीय वीज़ा/मास्टरकार्ड नंबर को 40 अलग-अलग रेस्तरां, कॉफी और शॉपिंग ऐप्स (जहां कोई भी क्रेडेंशियल-स्टफिंग बॉट इसे चार्ज कर सकता है) के अंदर संग्रहीत करने के बजाय, व्यापारी प्रोफाइल से सभी सहेजे गए कार्ड हटाएं और ऐप्पल पे या Google पे का उपयोग करके चेक आउट करें (जिसमें प्रत्येक पुनः लोड या खरीदारी के लिए आपके भौतिक फोन पर आपके लाइव फेस आईडी / टच आईडी बायोमेट्रिक स्कैन की आवश्यकता होती है), या व्यापारी-लॉक / एकल-उपयोग वर्चुअल क्रेडिट कार्ड नंबर का उपयोग करें (Privacy.com, Capital One Eno, Citi Virtual Account Numbers, Revolut Disposable Cards) सख्त $25 मासिक खर्च सीमा के साथ।
• 5. उच्च-मूल्य वाले खातों के लिए अद्वितीय ईमेल उपनाम का उपयोग करें:
• अपने प्राथमिक बैंक, एयरलाइन और होटल लॉयल्टी खातों पर लॉगिन ईमेल पते को एक समर्पित ईमेल उपनाम में बदलने पर विचार करें (you+loyalty@... या एक Apple मेरा ईमेल छुपाएं / सिंपललॉगिन / फास्टमेल उपनाम) जिसका उपयोग कभी भी सार्वजनिक मंचों, समाचार पत्रों या खुदरा स्टोरों के लिए साइन अप करने के लिए नहीं किया गया है। यदि किसी हमलावर की कॉम्बो सूची आपके लॉगिन ईमेल पते को नहीं जानती है, तो वे आपके खाते के विरुद्ध पासवर्ड डालने का प्रयास भी नहीं कर सकते हैं।

क्षेत्रीय आपातकालीन नंबर और एजेंसी प्रोटोकॉल¶

स्वचालित क्रेडेंशियल स्टफिंग के माध्यम से वफादारी, यात्रा और खुदरा खातों तक अनधिकृत पहुंच एक आपराधिक अपराध है (यूएस कंप्यूटर धोखाधड़ी और दुरुपयोग अधिनियम, यूके कंप्यूटर दुरुपयोग अधिनियम 1990 और दुनिया भर में समकक्ष कानूनों के तहत)। घटना की रिपोर्ट करने से एक आधिकारिक केस संख्या उत्पन्न होती है जो अनिच्छुक एयरलाइनों, होटलों या बैंकों को चुराए गए शेष को बहाल करने के लिए मजबूर करने में मदद करती है:

• संयुक्त राज्य अमेरिका और कनाडा:
• आपातकालीन सेवाएं: डायल करें 911 यदि कोई शारीरिक खतरा या व्यक्तिगत आपराधिक गतिविधि है।
• एफबीआई इंटरनेट अपराध शिकायत केंद्र (IC3): ** पर ऑनलाइन रिपोर्ट दर्ज करेंic3.gov** अनाधिकृत बिंदु/मील मोचन, यदि दिखाई दे तो दुष्ट यात्री का नाम/पीएनआर, और चुराए गए मौद्रिक मूल्य का दस्तावेजीकरण।
• संघीय व्यापार आयोग (FTC) एवं परिवहन विभाग (DOT) (यूएस): खुदरा/गिफ्ट-कार्ड खाता अधिग्रहण की रिपोर्ट ** पर करेंReportFraud.ftc.gov**; यदि सुरक्षा नियंत्रण में कमी होने पर कोई एयरलाइन आपकी गलती के बिना चुराए गए मील की जांच करने या उसे बहाल करने से इनकार करती है, तो आप यू.एस. में उपभोक्ता शिकायत भी दर्ज कर सकते हैं। परिवहन विभाग (airconsumer.dot.gov) या राज्य अटॉर्नी जनरल।
• कैनेडियन एंटी-फ्रॉड सेंटर (CAFC): यहां ऑनलाइन रिपोर्ट करें antifraudcentre-centreantifraude.ca या कॉल करें1-888-495-8501.
• यूनाइटेड किंगडम:
• आपातकालीन सेवाएं: डायल करें 999 (या 101 गैर-आपातकालीन पुलिस के लिए)।
• एक्शन फ्रॉड (यूके नेशनल फ्रॉड एंड साइबर क्राइम रिपोर्टिंग सेंटर): ऑनलाइन रिपोर्ट करें actionfraud.police.ukया कॉल करें0300 123 2040, और किसी भी संबंधित फ़िशिंग/स्पैम ईमेल को एनसीएससी को ** पर अग्रेषित करेंreport@phishing.gov.uk**.
• यूरोपीय संघ:
• आपातकालीन सेवाएं: डायल करें 112 सभी यूरोपीय संघ के सदस्य देशों में।
• राष्ट्रीय साइबर अपराध और उपभोक्ता संरक्षण प्राधिकरण: यूरोपोल के राष्ट्रीय रिपोर्टिंग पोर्टल के माध्यम से पुलिस रिपोर्ट दर्ज करें (europol.europa.eu/report-a-crime/report-cybercrime-online) और यदि सहेजी गई भुगतान विधि से शुल्क लिया गया है तो PSD2 अनधिकृत-लेनदेन विंडो के भीतर अपने बैंक को सूचित करें।
• ऑस्ट्रेलिया और न्यूजीलैंड:
• आपातकालीन सेवाएं: डायल करें 000 ऑस्ट्रेलिया में या 111 न्यूजीलैंड में।
• रिपोर्टसाइबर (ACSC) और स्कैमवॉच (ऑस्ट्रेलिया): ऑनलाइन रिपोर्ट करें cyber.gov.au/report-and-recover/reportया कॉल करें1300 CYBER1 (1300 292 371).
• CERT NZ / NetSafe (न्यूजीलैंड): रिपोर्ट cert.govt.nzया कॉल करें0508 NETSAFE (0508 638 723).
• भारत और एशिया-प्रशांत:
• भारत राष्ट्रीय साइबर अपराध रिपोर्टिंग पोर्टल: डायल करें 1930 तुरंत वित्तीय/वॉलेट धोखाधड़ी की रिपोर्ट करें या ** पर शिकायत दर्ज करेंcybercrime.gov.in**.
• सिंगापुर (ScamShield / एसपीएफ़ एंटी-स्कैम सेंटर): कॉल करें 1799 या 1800-722-6688.

अक्सर पूछे जाने वाले प्रश्नों¶

हैकरों ने मेरी एयरलाइन या होटल के खाते में सेंध कैसे लगाई जबकि वह एयरलाइन या होटल कहता है कि उन्हें हैक नहीं किया गया था?¶

क्रेडेंशियल-स्टफिंग हमले में, एयरलाइन या होटल के स्वयं के डेटाबेस का उल्लंघन नहीं करना पड़ता था। इसके बजाय, ए अलग जिस वेबसाइट पर आपने वर्षों पहले खाता बनाया था (जैसे कि फिटनेस ऐप, टिकटिंग साइट, फ़ोरम, या रिटेल स्टोर) में डेटा उल्लंघन हुआ, जिससे आपका ईमेल पता और पासवर्ड लीक हो गया। चूँकि आपने अपनी एयरलाइन, होटल, या कॉफ़ी ऐप पर ठीक उसी पासवर्ड (या लगभग समान भिन्नता) का उपयोग किया था, स्वचालित बॉट ने आपके लीक हुए ईमेल और पासवर्ड जोड़े को एयरलाइन या होटल के लॉगिन पेज में "भर दिया" और सीधे अंदर चले गए।

जब मेरे पॉइंट या उपहार कार्ड चोरी हो गए तो मुझे अचानक 10 मिनट में 1,000 रद्दी "अपनी न्यूज़लेटर सदस्यता की पुष्टि करें" ईमेल क्यों प्राप्त हुईं?¶

जंक साइनअप की उस बाढ़ को a कहा जाता है ईमेल बम (या सदस्यता बम). हमलावर की स्वचालित कैशआउट स्क्रिप्ट ने जानबूझकर आपके ईमेल पते को इंटरनेट पर 1,000 यादृच्छिक न्यूज़लेटर्स के लिए साइन अप किया, ठीक उसी समय जब उन्होंने आपके एयरलाइन मील को भुनाया, आपके होटल पॉइंट को स्थानांतरित किया, या आपके खुदरा खाते पर ऑर्डर दिया। उनका लक्ष्य आपके फोन की सूचनाओं को बाधित करना और एयरलाइन, होटल या स्टोर से एकल वैध रसीद ईमेल को दफनाना है ताकि आप सभी 1,000 ईमेल का चयन करें और यह जाने बिना उन्हें हटा दें कि कौन सा खाता अभी-अभी खाली हुआ है। जैसे शब्दों के लिए अपने इनबॉक्स और स्पैम फ़ोल्डर में खोज करने से पहले कभी भी किसी ईमेल बम को बल्क-डिलीट न करें "आदेश", "अंक", "मील", "टिकट", "स्थानांतरण", या "रसीद".

क्या मैं अपने चुराए गए एयरलाइन मील के साथ बुक किए गए टिकट पर उड़ान भरने वाले व्यक्ति का असली नाम देख सकता हूं और पुलिस को रिपोर्ट कर सकता हूं?¶

आपको निश्चित रूप से यात्री नाम रिकॉर्ड का स्क्रीनशॉट लेना चाहिए (`PNR`), यात्री का नाम, पासपोर्ट/ज्ञात यात्री का विवरण (यदि आरक्षण स्क्रीन पर दिखाई दे), और उड़ान संख्या और उन्हें दोनों को दें एयरलाइन की कॉर्पोरेट धोखाधड़ी / राजस्व सुरक्षा डेस्क और कानून प्रवर्तन (`ic3.gov`). हालाँकि, ध्यान रखें कि उस हवाई जहाज की सीट पर बैठा व्यक्ति अक्सर एक अनजाने तीसरे पक्ष का यात्री होता है, जिसने क्रेडेंशियल-स्टफिंग बॉटनेट चलाने वाले हैकर के बजाय टेलीग्राम, वीचैट या इंस्टाग्राम पर एक धोखेबाज भूमिगत ट्रैवल ब्रोकर से "रियायती टिकट" खरीदा था। एयरलाइन की धोखाधड़ी टीम टिकट रद्द कर देगी और बुकिंग आईपी और करों/शुल्क के लिए उपयोग की जाने वाली भुगतान विधि की जांच करेगी।

जब मेरे एयरलाइन या होटल खाते ने दूसरे देश से लॉग इन किया और 200,000 अंक ख़त्म कर दिए, तो उन्होंने हैकर से 2FA कोड क्यों नहीं मांगा?¶

कई विरासती फ़्रीक्वेंट-फ़्लायर, होटल लॉयल्टी, और खुदरा कार्यक्रम या तो मल्टी-फैक्टर प्रमाणीकरण छोड़ देते हैं (`MFA`) बदल गया डिफ़ॉल्ट रूप से बंद (इसे चालू करने के लिए आपको खाता सुरक्षा सेटिंग्स को मैन्युअल रूप से खोदना होगा) या पुराने **मोबाइल ऐप एपीआई एंडपॉइंट** या **पार्टनर पॉइंट-ट्रांसफर एपीआई** को 2FA चुनौतियों से असुरक्षित छोड़ते हुए केवल उनके वेब पोर्टल पर 2FA लागू करें। आपकी लॉयल्टी प्रोफ़ाइल में स्पष्ट रूप से 2FA/पासकीज़ को सक्षम करने और एक अद्वितीय, यादृच्छिक 16+ वर्ण पासवर्ड का उपयोग करने से पुराने मोबाइल एपीआई पर भी स्वचालित क्रेडेंशियल-स्टफिंग बॉट बंद हो जाते हैं।

क्या मैरियट, हिल्टन, डेल्टा, अमेरिकन, यूनाइटेड, या स्टारबक्स वास्तव में मुझे मेरे चोरी हुए अंक या उपहार कार्ड की शेष राशि वापस देंगे?¶

हां, अधिकांश दस्तावेजी मामलों में, बशर्ते कि आप अनधिकृत मोचन की रिपोर्ट तुरंत उनकी समर्पित **वफादारी धोखाधड़ी / खाता सुरक्षा टीम** को करें और एक अद्वितीय पासवर्ड और 2FA सेट करें। क्योंकि लॉयल्टी पॉइंट और क्लोज्ड-लूप स्टोर गिफ्ट कार्ड अपरिवर्तनीय कैश वायर ट्रांसफर के बजाय आंतरिक बही प्रविष्टियाँ हैं, कंपनी की धोखाधड़ी टीम दुष्ट होटल आरक्षण को रद्द कर सकती है, उड़ान टिकट को रद्द कर सकती है, प्राप्तकर्ता के खाते से पॉइंट वापस ले सकती है, आपको एक नया लॉयल्टी सदस्य नंबर या वर्चुअल गिफ्ट कार्ड नंबर जारी कर सकती है, और आपका पूरा बैलेंस बहाल कर सकती है।

संबंधित मार्गदर्शिकाएँ¶

• डेटा उल्लंघन प्रतिक्रिया और पासवर्ड लीक: अपने खातों की जांच और सुरक्षा कैसे करें
• ईमेल खाता हैक हो गया, अग्रेषण नियम और पुनर्प्राप्ति
• बैंक खाते का उल्लंघन: धोखाधड़ी पर तत्काल रोक और वसूली
• फ़िशिंग और समझौता किए गए खाते
• सत्र कुकी अपहरण, इन्फोस्टीलर मैलवेयर, और पासकी निरस्तीकरण
• देश के अनुसार आपातकालीन नंबर

स्रोत और आधिकारिक मार्गदर्शन¶

• साइबर सुरक्षा और बुनियादी ढांचा सुरक्षा एजेंसी (CISA) एवं एफबीआई इंटरनेट अपराध शिकायत केंद्र (IC3) (संयुक्त राज्य अमेरिका): क्रेडेंशियल स्टफिंग हमलों को कम करना, खाता अधिग्रहण (ATO), और सदस्यता बमबारी अभियान।
• विश्वव्यापी अनुप्रयोग सुरक्षा परियोजना खोलें (OWASP): ओडब्ल्यूएएसपी स्वचालित खतरा पुस्तिका: OAT-008 क्रेडेंशियल स्टफिंग और OAT-019 खाता एकत्रीकरण और लॉयल्टी पॉइंट कैशिंग।
• राष्ट्रीय मानक एवं प्रौद्योगिकी संस्थान (NIST) (संयुक्त राज्य अमेरिका): विशेष प्रकाशन 800-63बी: डिजिटल पहचान दिशानिर्देश: प्रमाणीकरण, जीवनचक्र प्रबंधन, और उल्लंघनित पासवर्ड स्क्रीनिंग।
• राष्ट्रीय साइबर सुरक्षा केंद्र (NCSC) (यूनाइटेड किंगडम): क्रेडेंशियल स्टफिंग, पासवर्ड पुन: उपयोग जोखिम, और उपभोक्ताओं और ऑनलाइन सेवाओं के लिए बहु-कारक प्रमाणीकरण मार्गदर्शन।
• संघीय व्यापार आयोग (FTC) एवं अमेरिकी परिवहन विभाग (DOT): उपभोक्ता सुरक्षा और एयरलाइन फ़्रीक्वेंट-फ़्लायर/वफादारी कार्यक्रम धोखाधड़ी जांच मानक।