Credential Stuffing Attacks: Nabuong a Milya ti Airline, Puntos ti Hotel, ken Naidulin a Balanse ti Gift Card¶

Ti panagriing kadagiti alerto iti email nga adda kalkalpasna a nag-book iti one-way international business-class flight nga agus-usar iti 180,000 kadagiti frequent-flyer a milia ti eroplano, nangiyalis iti 250,000 a puntos ti kinasungdo iti hotel iti account ti ganggannaet, wenno nanguksob iti naidulin a Starbucks, Target, Walmart, Sephora, wenno Amazon gift card balance-mo bayat a natalged pay laeng ti balanse ti pisikal a credit card-mo iti pitaka ti maysa a Automado a Credential Stuffing Attack. Saan a kas iti puntiria a spear-phishing attack wenno a panaglabsing iti bank account, ti panagkarga ti kredensial ket agus-usar ti automated a software ti botnet (OpenBullet, . SilverBullet, . Sentry MBA, a naiparis kadagiti residensial a proxy network) tapno masubok dagiti pinullo a milion a nagruar a kombinasion ti email-ken-password ("dagiti listaan ti kombo" manipud iti napalabas panaglabsing iti datos ken panagruar ti password) maibusor iti ginasut a portal ti kinasungdo ti eroplano, hotel, restawran, panagay-ayam, ken panagtagilako nga aggigiddan. Espesipiko a puntiriaen dagiti cybercriminal dagiti frequent-flyer account (Delta SkyMiles, . American Airlines AAdvantage, . United MileagePlus, . British Airways Executive Club, . Air Canada Aeroplan, . Qantas Frequent Flyer), gunggona ti hotel (Marriott Bonvoy, . Hilton Honors, . World of Hyatt, . IHG One Rewards), ken kape/fast-food/retail apps (Starbucks, . Chick-fil-A, . Dunkin', . Target Circle, . Walmart, . Ulta, . Sephora) gapu ta dagitoy a programa ket mangiggem kadagiti rinibu a doliar iti saan a nairegulado a "quasi-currency" a mabalin a mai-cash out kadagiti digital gift card, Apple electronics, wenno dagiti isu met laeng nga aldaw a tiket ti eroplano iti kurang a 90 a segundo, masansan nga addaan iti zero mandatory Multi-Factor Authentication (MFA) napalubosan babaen ti default. No madlawmo met ti ginasut a junk newsletter signups a manglayus iti inbox-mo iti eksakto a kanito, ti manangraut ket agpatpataray iti Email Bombing / Subscription Flood tapno itabonna ti lehitimo nga email ti flight-redemption wenno gift-card receipt; kitaen ti giyatayo iti email account hacked, pagannurotan ti panagipatulod, ken panagsubli a dagus. No maipasangoka iti dagus a panagkikil wenno pisikal a pangta, tawagam ti lokal nga emerhensia a numerom (911 idiay Estados Unidos ken Canada, . 112 iti ballasiw ti European Union, . 999 idiay United Kingdom) wenno kitaen ti direktoriomi ti internasional numero ti emerhensia.

Aramidenyo daytoy ita¶

1. Sakbay nga i-delete ti kellaat a layus ti 500 nga spam emails ("Email Bomb"), sapulem dagiti Inbox, Spam, ken Trash folder-mo para kadagiti sasao "Redemption", . "Points", . "Miles", . "Ticket", . "eGift", . "Order", . "Transfer", wenno "Added a payment": Tunggal ti credential-stuffing bot ket sibaballigi a mang-drain iti maysa nga airline, hotel, wenno retail account, ti manangraut ket dagus a mangtignay iti script a mangpirma iti email address-mo para iti 500 agingga iti 2,000 a random mailing lists iti 3 a minuto isu a maliwayam ti maymaysa a pudno a resibo a mangipakpakita iti no ania a loyalty account ti naikkat laeng. Ti panangbirok iti dayta a maymaysa a pakaammo iti uneg ti umuna a 2 nga oras ket mangipalubos kenka a mangkansela iti tiket ti eroplano ti hacker wenno mangi-freeze iti digital gift card sakbay a sumrek ti pasahero iti eroplano wenno subboten ti barcode.
2. Aglog-in iti nakompromiso nga airline, hotel, wenno retail loyalty account iti nadalus a browser, baliwan ti password iti baro a 16+ a karakter a random password, ken ikkaten amin a naidulin a credit/debit card ken naisilpo a PayPal/Venmo/Apple Pay token:
3. Malaksid iti panangbusbosmo kadagiti naurnong a miliam wenno balanse ti gift card, dagiti kredensial-a-mangpalaman nga iskrip ket sukimatenda no "Auto-Reload" (Starbucks / . Dunkin' / . Toll Pass) wenno na-enable ti one-click stored credit card checkout isu a makabombada iti ekstra a $100 agingga iti $500 manipud iti naisilpo a Visa/Mastercard-mo iti balanse ti gift card ti app ken i-drain dayta met.
4. Sukimaten ti "Upcoming Trips / Reservations / Orders / Points Activity" tab iti uneg ti loyalty account, ken SAANYO a kanselaen a mismo ti naallilaw a reward flight wenno hotel booking online no ti programa ket agsingir iti redeposit fee wenno ipatulodna manen dagiti puntos iti account a kontrolado pay laeng ti hacker babaen ti aktibo a mobile session:
5. Imbes ketdi, isurat ti 6-karakter a Rekord ti Nagan ti Pasahero ti Eroplano (PNR / Kodigo ti Pammatalged), ti 13-digit nga e-Ticket Number (kas pagarigan, . 001-... para iti Americano, . 006-... para iti Delta, . 016-... para iti Nagkaykaysa, . 125-... para iti British Airways), ti nagan ti pasahero a nangi-book ti hacker iti tiket iti babaen ti, wenno ti Hotel Confirmation Number / Gift Card Order Number, ken tawagan a dagus ti dedikado a Fraud / Revenue Protection Desk ti programa ti kinasungdo.
6. Kitaem no binaliwan ti manangraut ti Secondary Recovery Email, Phone Number, wenno innayonna ti kameng ti "Family / Household Pooling / Redemption Nominee" iti uneg ti loyalty profile-mo:
7. Dagiti programa a kas iti British Airways Executive Club, . JetBlue TrueBlue, . Hilton Honors, . Marriott Bonvoy, . Air Canada Aeroplan, ken Qantas palubosan dagiti account a mangisilpo iti Household Account / Points Pooling partner wenno Transfer Beneficiary. Dagiti manangraut ket isilpoda ti bukodda a mule account iti pool-mo, i-drain-da dagiti puntosmo iti pool, ken agtalinaed a naisilpo uray kalpasan a baliwam ti password-mo malaksid no nalawag nga auditem ken mawaswasmo ti Household Pool.
8. Tawagan a dagus ti bank wenno credit card issuer-mo no nasingir ti "Auto-Reload" wenno naidulin a card: Ipakaammom iti fraud department a naala ti merchant app account-mo babaen ti credential stuffing (Unauthorized Card-Not-Present Transaction), agkiddaw iti dagus a pannakasukat ti numero ti kard, ken kiddawem kadakuada a maikkat ti Visa/Mastercard Account Updater ti komersiante (VAU/ .ABU) token isu a ti baro a numero ti kasukatmo a kard ket saan nga automatiko a maiduron a mismo nga agsubli iti nakompromiso a retail app.
9. Sapulen ti tunggal sabali nga account a nakausaranmo iti dayta met laeng a password (wenno asideg a panagduduma a kas Summer2024 -> Summer2025) ken i-rotate a dagus dagitoy babaen ti password manager: Apaman a ti paris ti email ken password-mo ket makadungpar iti aktibo a credential-stuffing botnet combo list, dagiti automated bots ket subokenda dayta nga eksakto a password kontra iti nasurok a 300 a kangrunaan a website (airlines, hotel, ticketing sites a kas iti Ticketmaster/StubHub, food delivery apps kas iti DoorDash/Uber Eats, crypto exchanges, ken retail tiendaan) iti uneg ti sumaganad a 24 agingga iti 72 nga oras.

--- .

Kaykayo ti pangngeddeng: panangtriaging ken panangbaliktad iti kredensial-a-mangpalaman a kinasungdo wenno retail drain¶

Usaren daytoy a panagayus ti trabaho tapno pasardengen ti aktibo a point drain wenno stored-balance theft ken maala manen ti balansem:

flowchart TD
    Alert["Alerto: Di Autorisado a Panangsubbot iti Milya/Punto, Naidulin a Gift Card Drain, wenno Kellaat a Layus ti 500+ a Junk Newsletter Emails"] --> SearchBomb["ADDANG 1: Agbirok iti Email Inbox + Trash + Spam para iti 'Redemption', 'Miles', 'Points', 'Ticket', 'Order', 'Reload', wenno 'Nabaliwan nga Email'."]

    SearchBomb --> TargetType{"Ania a Kita ti Account ti Nalabsing ti Credential-Stuffing Bot?"}

    TargetType -->|"Masansan nga Agtayab ti Linya ti Eroplano (Delta, AA, Nagkaykaysa, BA, Aeroplan, Qantas)"| AirlinePath["ADDANG 2A: Irekord ti Rogue PNR + Nagan ti Pasahero -> Baliwan ti Password + Pagbalinen ti MFA -> Tawagan ti Airline Fraud / Revenue Protection Desk tapno Void Ticket & Freeze Account"]

    TargetType -->|"Kinasungdo ti Hotel (Marriott Bonvoy, Hilton Honors, Hyatt, IHG) ."| HotelPath["ADDANG 2B: I-check ti 'Points Activity' para iti Point Transfers / Gift Card Cashouts / Room Bookings -> Runawen ti 'Points Pooling' -> Tawagan ti Loyalty Fraud Team tapno Mabaliktad ti Panag-transfer"]

    TargetType -->|"Kape / Napardas a Taraon / App ti Panagtagilako (Starbucks, Target, Walmart, Sephora, Chick-fil-A)"| RetailPath["ADDANG 2C: Ikkaten dagiti Naidulin a Credit Card + Iddepen a Dagus ti 'Auto-Reload' -> Tawagan ti Suporta ti Kostumer tapno Ma-deactivate ti Naikompromiso a Virtual Gift Card Barcode & Reissue Balance"]

    AirlinePath --> AuditEmail["ADDANG 3: I-audit ti Primary Email Account-mo (Gmail/Outlook/Yahoo) para kadagiti Rogue Forwarding Rules wenno Filters a Panangikkat kadagiti Loyalty Emails"]
    HotelPath --> AuditEmail
    RetailPath --> AuditEmail

    AuditEmail --> RotateAll["ADDANG 4: I-rotate ti Tunggal Account Sharing nga Nausar Manen ti Password Babaen ti Password Manager + Passkeys / TOTP 2FA"]

--- .

No kasano a dagiti credential-stuffing bot ket maka-cash out kadagiti milia, puntos, ken gift card iti kurang a 90 a segundo¶

Ti pannakaawat iti eksakto a mekaniko ti panangraut iti kredensial-stuffing ilawlawagna no apay a dagiti account a nagtugaw a di nasagid iti adu a tawen kellaat nga ag-empty iti 02:00 AM:

1. Apay a dagiti Loyalty & Retail Accounts ti #1 a Target para kadagiti Combo-List Bots¶

No agsagaba ti maysa a kangrunaan a website iti pannakalabsing ti datos, minilion ti email:password dagiti paris ket naurnong kadagiti teksto a file a maawagan iti Combo Lists. Dagiti manangraut ikargada dagitoy a listaan ti combo kadagiti napartak nga awan ulona nga alikamen ti automation ti browser (OpenBullet 2 / . SilverBullet) nga agus-usar kadagiti Config files ( ..anom / . .loli / . .opk) naisurat a naisurat para kadagiti espesipiko nga API ti eroplano, hotel, ken panagtagilako: 1. Stage 1 (Automated "Capture" Scanning): Ti bot ket agsubok iti 50,000 a nagruar email:password paris iti kada minuto babaen ti agturong a residensial a proxy maibusor iti mobile app login API ti Marriott, . Hilton, . American Airlines, . United, . Delta, . Starbucks, . Target, wenno Sephora. 2. Stage 2 (Automated Balance Parsing): Tunggal agballigi ti login (gapu ta inusar manen ti biktima ti isu met laeng a password nga inusarna iti nalabsing a forum wenno shopping site 4 a tawenen ti napalabas), automatiko a kiskis ti script ti bot ti Point/Mile Balance, Stored Gift Card Value, ken Saved Credit Card Last-4 Digits, ti panagurnos ti account maidungpar kadagiti tier (kas pagarigan, . "100,000+ Miles" wenno "$50+ Gift Card"). 3. Stage 3 (Instant a Panagkuarta / Cashout): - Dagiti Portal ti Panagbalbaliw ti Kard ti Regalo (Points-to-Gift-Card): Adu a hotel, airline, ken credit-card loyalty portal ti mangipalubos iti dagus nga online a panangsubbot kadagiti puntos para kadagiti digital Apple, Best Buy, Amazon, Target, Walmart, wenno Visa eGift card a naipatulod babaen ti email, a lapdan wenno iturong manen ti manangraut. - Point Transfers & Household Pools: Ti manangraut ket iyakarna ti... Hilton Honors, . Marriott Bonvoy, wenno Airline itudona ti "mule" loyalty account, wenno isilpona ti accountmo iti Household Pool ken subbotenna dagitoy manipud iti login ti mule. - Same-Day / Next-Day International Award Flights & Luxury Hotel Stays: Dagiti sindikato ti panagbiahe-panagkusit iti Underground Telegram alaenda ti na-hijack nga account-mo nga addaan iti 150,000 a milia ket ag-book iti isu met laeng nga aldaw nga internasional a panagtayab wenno 5-rabii a panagtalinaed iti luho iti hotel para iti third-party a gumatang a mangbayad iti hacker iti 30 a sentimo iti doliar iti cryptocurrency. - Panag-drain ti Mobile Barcode iti Tienda (Starbucks, . Target Wallet, . Walmart Pay, . Sephora, . Ulta): Para kadagiti retail ken coffee apps, i-extract ti bot ti naidulin a gift-card barcode number/QR code-mo (wenno direkta nga ag-log iti app-mo iti burner phone iti self-checkout register), i-on ti Auto-Reload manipud iti naidulin a Visa/Mastercard-mo, ken gumatang kadagiti high-resale merchandise wenno pisikal a gift card iti tiendaan.

2. Apay a Dika Nakagun-od iti Email Alert: Ti "Email Bomb" & Inbox Filter Trick¶

No ti maysa a manangraut ket i-cash out dagiti puntosmo, ti loyalty platform kanayon ket mangipatulod iti automated confirmation email ("Your Marriott Bonvoy Points Transfer is Complete" wenno "Your Delta eTicket Receipt"). Tapno mapasardengmo a makakita iti dayta nga email iti umiso a tiempo tapno tawagam ti kompania ti eroplano ken kanselarem ti tiket sakbay ti panagtayab, agusar dagiti manangraut iti dua a trick: - Trick A (No AWAN ti access-da iti email account-mo): Ilansada ti Subscription Bomb (Email Bomb), nga agus-usar kadagiti automated scripts tapno mangisubmitir iti email address-mo iti 1,000+ a di napasingkedan a porma ti panagpirma iti website newsletter iti intero a lubong iti uneg ti 120 a segundo. Di agsarday ti panag-buzz ti teleponom iti 1,000 "Confirm your subscription to..." email iti 10 a minuto, a pakaigapuan ti kaaduan a tattao a mangpili amin a 1,000 nga email ken mang-hit iti Delete, nga aksidente a mangikkat iti maymaysa a pudno nga alerto ti panagkusit ti eroplano wenno banko a naitabon iti linia 412. - Trick B (No inusarmo met ti EKSAMEN a password iti Email Account-mo): Ti manangraut ket direkta nga ag-log iti Gmail, Outlook, wenno Yahoo Mail-mo, mangpataud iti di makita a Inbox Rule / Filter (If sender contains "delta.com", "marriott.com", "hilton.com", or "starbucks.com" -> Skip Inbox and Delete It / Move to Trash), ken i-empty-na ti Trash folder-mo tapno dika pulos makakita iti uray maysa laeng a pakaammo.

--- .

Phase 1: Panangbaliktad kadagiti Nabuong a Milya ti Eroplano & Puntos ti Hotel (Provider-by-Provider Playbook) .¶

Saan a kas kadagiti wire transfer wenno transaksion ti cryptocurrency (a saan a mabaliwan apaman a naurnos iti on-chain), dagiti milia ti eroplano, puntos ti hotel, ken dagiti internal retail gift cards ket agtugaw iti uneg ti sentral a relasional a database a kontrolado ti 100 a porsiento babaen ti kompania. Uray no ti hacker ket inyalisonnan dagiti puntosmo iti sabali a miembro wenno nangipaulog iti award flight ticket, ti Corporate Fraud / Revenue Protection Investigation Team ti eroplano wenno hotel ket mabalinna a tuntonen ti eksakto a destinasion nga account, i-void ti tiket wenno iyakar, iparit ti pasaporte/account ti umawat, ken isublina ti 100 a porsiento kadagiti natakaw a milia wenno puntosmo iti baro nga inruar, nadalus a numero ti loyalty account.

Suroten dagiti espesipiko nga addang ti panagsubli para iti programam iti kinasungdo iti baba:

--- .

Phase 2: Panagsardeng ti "Auto-Reload" & Naidulin a Payment Token Drain¶

Adu a biktima ti retail ken coffee-app credential stuffing ti mapukaw ti pudno a kuarta manipud iti bank checking account wenno credit card-da malaksid kadagiti naidulin a loyalty points-da. Kastoy ti panagandar ti Auto-Reload & Tokenized Wallet Drain ken no kasano nga iserran daytoy:

1. Kasano a Gundawayan dagiti Manaraut ti "Auto-Reload" ken "Scan & Pay":
2. Iti apps a kas iti Starbucks, . Dunkin', . Chick-fil-A, . Panera, . EZ-Pass / Toll Tag accounts, ken transit card, masansan nga ag-save dagiti agus-usar iti credit card wenno PayPal account tapno makarga manen ti naidulin a balanseda.
3. Uray no ti Starbucks card-mo ket addaan laeng iti $4.50 idi nag-log in ti hacker, i-tap ti hacker ti "Reload $100.00" iti maminlima nga agsasaruno babaen ti panangusar iti naidulin a Visa/Mastercard/PayPal token-mo (a masansan a saan a mangidawdawat iti 3-digit CVV kodigo no ikarga manen ti addan a balanse ti first-party gift card), kalpasanna dagus nga iyalisna dayta a $500 a balanse iti naisina a virtual card wenno busbosenna dayta iti maysa a rehistro.
4. Apay a Saan Nga Umdasen ti Basta Panangsukat iti Numero ti Credit Card-mo (Visa VAU / . Mastercard ABU):
5. No tawagam ti bankom tapno ireportmo ti naallilaw a singir ket ipatulodda kenka ti baro a credit card nga addaan iti baro a 16-digit a numero, ti Visa (Visa Account Updater VAU) ken Mastercard (Automatiko nga Updater ti Panagsingil ABU) automatiko nga iduronmo ti baro a 16-digit a numero ti kardmo kadagiti maulit-ulit a komersiante ken mobile wallet a nakaidulinan ti daan a kardmo.
6. No ti manangraut ket addaan pay laeng iti aktibo nga OAuth session token iti uneg ti nakompromiso a retail wenno food-delivery app-mo, mabalin nga agparang ti baro a kasukat a kardmo iti uneg a mismo ti na-hack nga app sakbay pay a sumangpet ti pisikal a kardmo iti mailbox-mo.
7. Ania ti ibagam iti bankom: Tunggal ma-hack ti merchant account nga addaan iti naidulin a card, ibagam iti fraud specialist ti banko: > "Pangngaasiyo ta ikanselayo ti kardko, ibabawi amin nga addan a digital merchant payment tokens a nainaig iti." [Merchant Name], ken mangikabil iti temporario nga opt-out block iti Visa Account Updater / Mastercard Automatic Billing Updater tapno saan nga automatiko a maiduron ti baro a numero ti kardko iti nakompromiso a komersiante."

--- .

Phase 3: Panag-audit iti Email Account-mo para iti Concurrent Compromise & Inbox Rules¶

Gapu ta 65 a porsiento kadagiti tattao ti agus-usar manen iti isu met laeng a password iti ballasiw ti adu nga account, tunggal ti maysa a credential-stuffing bot ket sumrek iti account-mo iti eroplano, hotel, wenno retail, masapul a dagus a kitaem no dayta met laeng a bot ket nakalog-in met iti kangrunaan nga Email Account-mo (Gmail, . Outlook / Hotmail, . Yahoo, . iCloud, . AOL):

1. I-check dagiti Aktibo a Sign-In Logs iti Email Account-mo:
2. Gmail: I-scroll iti baba a kannawan ti inbox-mo sa i-click ti Details (Last account activity), wenno panagbisita myaccount.google.com/device-activity.
3. Microsoft nga Outlook / Hotmail / Live: Panagbisita account.live.com/Activity ken sukimaten ti tunggal maysa a nabiit pay a panagpadas ti panagserrek (masansan a makitam dagiti pinulpullo a napaay ken naballigi nga IMAP/POP3/Exchange credential-stuffing a panagpadas manipud kadagiti ganggannaet a residensial nga IP a pagtaengan).
4. Yahoo Mail: Mapan iti Impormasion ti Kuenta > Kabarbaro nga Aktibidad.
5. Kitaem dagiti Paglintegan ti Email Forwarding & Auto-Delete Filter-mo ITA ITA:
6. Luktam dagiti setting ti emailmo iti desktop web browser (dagiti app ti mobile mail ket mangilemmeng kadagiti pagannurotan ti pagsala):
   • Gmail: Settings (Gear Icon) > Kitaen amin a settings > Filters ken Blocked Addresses KEN Panag-forward ken POP/IMAP.
   • Outlook.com: Settings (Gear Icon) > Mail > Rules KEN Mail > Forwarding KEN Mail > Junk email > Naserraan dagiti nangipatulod ken domain.
   • Yahoo Mail: Settings > Ad-adu pay a Settings > Filters.
7. Kitaen ti aniaman a pagannurotan a kunana: ** .If From/Subject contains [Airline / Hotel / Bank / PayPal / Amazon / "Security" / "Code"] -> Delete it / Mark as Read / Move to Trash / Archive**. I-delete a dagus ti tunggal rogue filter.
8. Para iti kompleto a walkthrough ti email remediation, suroten ti giyatayo iti email account hacked, pagannurotan ti panagipatulod, ken panagsubli.

--- .

Phase 4: Panangikkat iti Panagusar Manen ti Password iti Sibubukel a Digital a Biagmo¶

Ti panangraut ti kredensial-a-panagpunno ket agtrabaho laeng iti sidong ti maysa a kondision: nagusarka iti password iti dayta a loyalty wenno retail site a dati a nagparang iti pannakalabsing ti datos (wenno nalaka a napagteng babaen ti pagannurotan ti mutasion ti diksionario).

Tapno permanente a mabakunaan ti bagim maibusor iti credential stuffing iti ballasiw ti amin nga account-mo, kompletuen daytoy 5-addang a listaan ti panagtangken:

• 1. Ipataraymo Dagiti Email Address-mo Babaen Have I Been Pwned (haveibeenpwned.com):
• Isuratmo ti personal ken trabaho nga email address-mo iti haveibeenpwned.com tapno makita no ania dagiti historical data breaches a nangibutaktak kadagiti kredensialmo.
• 2. Luktan ti Browser / Password Manager mo "Password Checkup" Audit & Baliwan ti Tunggal Nausar Manen a Password nga Umuna:
• Dagiti Password ti Apple (iOS 18 / . macOS Sequoia wenno Settings > Passwords > Security Recommendations), Managmanehar ti Password ti Google (passwords.google.com/checkup), 1Password (Watchtower), ken Bitwarden (Vault Health Reports) automatiko nga igrupo amin dagiti naidulin a panagloginmo iti "Naikompromiso a Password" ken "Nausar Manen a Password".
• Urnosen dagiti nausar manen a password babaen ti pinancial/value risk ken sukatan ti tunggal maysa iti naisangsangayan, naiparna a napataud a 16-agingga-iti-24-a-karakter a password (wenno 4-word random passphrase a kas correct-horse-battery-staple):
  1. Dagiti Kangrunaan nga Email Account (Gmail, . Outlook, . Yahoo, . iCloud) .
  2. Dagiti Banko, Brokerage, ken Dagiti Apps ti Panagbayad (PayPal, . Venmo, . Cash App, . Zelle) .
  3. Airline Frequent-Flyer & Kuenta ti Kinasungdo iti Hotel (Delta, . AA, . United, . BA, . Marriott, . Hilton, . Hyatt) .
  4. Retail, Ticketing & Food Delivery Apps nga addaan kadagiti Naidulin a Kard/Balanse (Amazon, . Target, . Walmart, . Starbucks, . Ticketmaster, . Uber, . DoorDash, . Sephora, . Ulta) .
• 3. I-ON ti Multi-Factor a Panagpabigbig (MFA) wenno Passkeys iti Tunggal Loyalty & Retail Account a Mangsuporta iti Daytoy:
• Adu nga agus-usar ti mangpabalin iti 2FA iti banko ken email-da ngem malipatan dayta Delta SkyMiles, . American Airlines, . United MileagePlus, . British Airways, . Air Canada Aeroplan, . Marriott Bonvoy, . Hilton Honors, . Hyatt, . Amazon, . Target, . Walmart, . Starbucks, ken Ticketmaster ita suportaranda ti 2FA wenno Passkeys, kaskasdi nga adu ti mangbaybay-a iti 2FA OFF babaen ti default agingga a manual nga i-on-mo daytoy iti uneg ti Account Security Settings.
• 4. Dika Pulos nga Idulin ti Credit Card wenno Debit Card iti Uneg ti Kassual a Taraon, Kape, wenno Retail Apps:
• Imbes nga iduldulinmo ti raw 16-digit a numero ti Visa/Mastercard-mo iti uneg ti 40 a nadumaduma a restaurant, kape, ken shopping apps (a sadiay ti aniaman a credential-stuffing bot ket mabalinna a singiren dayta), i-delete-mo amin a naidulin a kard manipud kadagiti profile ti komersiante ken ag-check out babaen ti panangusar iti Apple Pay wenno Google Pay (a kasapulan ti live Face ID / Touch ID biometric scan-mo iti pisikal a teleponom para iti tunggal maysa a panag-reload wenno panaggatang), wenno panagusar dagiti naiserra iti komersiante / dagiti numero ti birtual a credit card ti mausar (Privacy.com, . Capital One Eno, . Citi Virtual Account Numbers, . Revolut Disposable Cards) nga addaan iti nainget a $25 a binulan a limitasion ti panaggasto.
• 5. Usaren dagiti Naisangsangayan nga Alias ti Email para kadagiti Nangato ti Pateg nga Account:
• Ibilangmo ti panangbalbaliw iti login email address kadagiti kangrunaan a bank, airline, ken hotel loyalty account-mo iti dedikado nga email alias (you+loyalty@... wenno maysa nga Apple Hide My Email / SimpleLogin / Fastmail alias) a saan pay a pulos a nausar a nagpirma kadagiti publiko a forum, newsletter, wenno retail store. No ti combo list ti attacker ket saan nga ammo ti login email address-mo, dida pay ketdi padasen nga i-stuff ti password kontra iti account-mo.

--- .

Dagiti rehional a numero ti emerhensia ken dagiti protocol ti ahensia¶

Ti di autorisado a panagserrek kadagiti kuenta ti kinasungdo, panagbiahe, ken panagtagilako babaen ti automated credential stuffing ket maysa a kriminal a basol (iti sidong ti US Computer Fraud and Abuse Act, ti UK Computer Misuse Act 1990, ken dagiti katupag a linteg iti sangalubongan). Ti panangireport iti pasamak ket mangpataud iti opisial a numero ti kaso a makatulong a mangpilit kadagiti agkedked nga eroplano, hotel, wenno banko a mangisubli kadagiti natakaw a balanse:

• Estados Unidos ken Canada:
• Serbisyo ti Emerhensia: Dial 911 no adda aniaman a pisikal a pangta wenno in-person a kriminal nga aktibidad.
• Sentro ti Reklamo ti Krimen iti Internet ti FBI (IC3): Mangipila iti online a report iti ** .ic3.gov** panangidokumento iti di autorisado a point/mile redemption, ti rogue passenger name/PNR no makita, ken ti natakaw a gatad ti kuarta.
• Komision ti Pederal a Panagtagilako (FTC) & Departamento ti Transportasion (DOT) (US): Ireport dagiti panagala ti account ti retail/gift-card iti ** .ReportFraud.ftc.gov**; no agkedked ti maysa a kompania ti eroplano a mangimbestiga wenno mangisubli kadagiti milia a natakaw babaen ti awan basolmo idi agkurang dagiti kontrol ti seguridad, mabalinmo met ti mangipila iti reklamo dagiti konsumidor iti U.S. Departamento ti Transportasion (airconsumer.dot.gov) wenno Abogado Heneral ti estado.
• Sentro ti Anti-Fraud ti Canada (CAFC): Agreport online iti antifraudcentre-centreantifraude.ca wenno tawagan ti ** .1-888-495-8501**.
• Nagkaykaysa a Pagarian:
• Serbisyo ti Emerhensia: Dial 999 (wenno ** .101** para kadagiti saan nga emerhensia a polis).
• Action Fraud (Sentro ti Panagreport ti Nailian a Panagkusit ken Cyber Crime ti UK): Agreport online iti actionfraud.police.uk wenno tawagan ti ** .0300 123 2040, ken ipatulod ti aniaman a mainaig a phishing/spam email iti NCSC iti ** .report@phishing.gov.uk.
• Kappon ti Europa:
• Serbisyo ti Emerhensia: Dial 112 iti ballasiw ti amin nga estado a kameng ti EU.
• Nasional a Cybercrime & Consumer Protection Authorities: Mangipila iti report ti polisia babaen ti nasional a portal ti panagireport ti Europol (europol.europa.eu/report-a-crime/report-cybercrime-online) ken ipakaammom iti bankom iti uneg ti PSD2 unauthorized-transaction window no nasingir ti naisalakan a pamay-an ti panagbayad.
• Australia ken Baro a Selanda:
• Serbisyo ti Emerhensia: Dial 000 idiay Australia wenno 111 idiay Baro a Selanda.
• Ireport tiSyber (ACSC) & Scamwatch (Australia): Agreport online iti ** .cyber.gov.au/report-and-recover/report** wenno tawagan ti ** .1300 CYBER1 (1300 292 371)**.
• CERT NZ / NetSafe (Baro a Selanda): Ireport iti cert.govt.nz wenno tawagan ti ** .0508 NETSAFE (0508 638 723)**.
• India ken Asia-Pasipiko:
• India Nailian a Portal ti Panagreport ti Cyber Crime: Dial 1930 dagus nga ireport ti financial/wallet fraud wenno mangipila ti reklamo iti cybercrime.gov.in.
• Singapore (ScamShield / Sentro ti Kontra-Scam ti SPF): Tawagan 1799 wenno ** .1800-722-6688**.

--- .

Masansan a maisaludsod¶

Kasano a simrek dagiti hacker iti account-ko iti airline wenno hotel idi kuna dayta nga airline wenno hotel a SAAN a na-hack dagitoy?¶

Iti credential-stuffing attack, saan a kasapulan a malabsing ti bukod a database ti kompania ti eroplano wenno hotel. Imbes ketdi, a naiduma website a nangaramidka iti account tawtawen ti napalabas (kas iti fitness app, ticketing site, forum, wenno retail store) ket nagsagaba iti data breach a nag-leak iti email address ken password-mo. Gapu ta inusarmo dayta eksakto a kapada a password (wenno dandani agpapada a panagduduma) iti app-mo iti eroplano, hotel, wenno kape, dagiti automated bot ket basta "inkargada" ti nagruar nga email-ken-password pair-mo iti login page ti airline wenno hotel ket nagnada a mismo.

Apay a kellaat a nakaawatak iti 1,000 a junk "Confirm your newsletter subscription" emails iti 10 a minuto idi mismo a natakaw dagiti puntos wenno gift cards-ko?¶

Dayta a layus dagiti junk signups ket maawagan iti an Bomba ti Email (wenno Bomba ti Suskrision) .. Inggagara ti automated cashout script ti manangraut ti email address-mo para iti 1,000 a random newsletter iti intero nga internet iti eksakto a kanito a sinubbotda dagiti miliam ti eroplano, inyalisda dagiti puntosmo iti hotel, wenno nangikabilda iti order iti retail account-mo. Ti panggepda ket ti pananglapunos kadagiti pakaammo iti teleponom ken itabon ti maymaysa a lehitimo nga email ti resibo manipud iti kompania ti eroplano, hotel, wenno tiendaan tapno piliem amin a 1,000 nga email ket i-delete-mo a dimo mapupuotan no ania nga account ti na-drain laeng. Dimo pulos bulk-delete ti email bomb sakbay a sapulem ti inbox ken spam folder-mo para kadagiti termino a kas iti "Ibilin"., . "Dagiti Punto"., . "Miles", . "Tiket"., . "Panag-transfer"., wenno "Resibo"..

Mabalin kadi a kitaek ti pudno a nagan ti tao nga agtaytayab iti tiket a na-book kadagiti natakawko a milia ti eroplano ket ireportko dagita iti polis?¶

Talaga a rumbeng nga i-screenshot-mo ti Passenger Name Record (`PNR`), nagan ti pasahero, detalye ti pasaporte/Am-ammo a Biahero (no makita iti iskrin ti reserbasion), ken numero ti eroplano ken ited dagitoy nga agpada kadagiti ti Corporate Fraud / Revenue Protection Desk ti kompania ti eroplano ken pannakaipatungpal ti linteg (`ic3.gov`). Nupay kasta, laglagipen a ti tao a nakatugaw iti dayta a tugaw ti eroplano ket masansan a maysa a di makaammo a third-party traveler a gimmatang iti "discounted ticket" manipud iti maysa a manangallilaw nga underground travel broker iti Telegram, WeChat, wenno Instagram, imbes a ti hacker a nangtarawidwid iti credential-stuffing botnet. Kanselaen ti fraud team ti airline ti tiket ken sukimatenda ti booking IP ken pamay-an ti panagbayad a nausar para kadagiti buis/bayad.

Apay a diak kiniddaw ti airline wenno hotel account-ko iti 2FA code iti hacker idi nag-log in-da manipud iti sabali a pagilian ket na-drain-da ti 200,000 a puntos?¶

Adu a tawid a masansan nga agtayab, kinasungdo iti hotel, ken programa ti panagtagilako ti pumanaw iti Multi-Factor Authentication (`MFA`) ti nagturong OFF ti default (kasapulan ti manual a panagkali kadagiti setting ti Seguridad ti Kuenta tapno mailukat daytoy) wenno ipatungpal laeng ti 2FA iti web portal-da bayat a baybay-an dagiti daan a **mobile app API endpoints** wenno **partner point-transfer APIs** a saan a nasalakniban babaen dagiti karit ti 2FA. Ti panangipalubos kadagiti 2FA/Passkeys a nalawag iti loyalty profile-mo ken panagusar iti naisangsangayan, naiparna a 16+ a karakter a password ket mangpasardeng kadagiti automated credential-stuffing bot uray kadagiti legacy mobile API.

Aktual ngata nga isubli kaniak ti Marriott, Hilton, Delta, American, United, wenno Starbucks ti natakawko a puntos wenno balanse iti gift card?¶

Wen, iti napalaus a kaaduan kadagiti nadokumento a kaso, basta ireportmo a dagus ti di autorisado a pannakasubbot iti dedikado a **Loyalty Fraud / Account Security team**-da ken mangiset-upka iti naisangsangayan a password ken 2FA. Gapu ta dagiti loyalty points ken closed-loop store gift card ket internal ledger entries imbes a di mabaliwan a cash wire transfer, mabalin a kanselaen ti fraud team ti kompania ti rogue hotel reservation, i-void ti tiket ti eroplano, i-claw back dagiti puntos manipud iti account ti umawat, mangipaay kenka iti baro a loyalty member number wenno virtual gift card number, ken isublina ti naan-anay a balansem.

--- .

Mainaig a giya¶

• Data breach response ken password leaks: no kasano a kitaen ken natalged dagiti account-mo
• Na-hack ti email account, pagannurotan ti panagipatulod, ken panagsubli
• Bank account breach: dagus a panag-freeze ken panagsubli ti panagkusit
• Phishing ken nakompromiso nga account
• Ti panag-hijack ti cookie ti sesion, infostealer malware, ken pannakaikkat ti passkey
• Numero ti emerhensia sigun iti pagilian

--- .

Gubuayan ken opisial a panangiwanwan¶

• Ahensia ti Seguridad ti Cybersecurity ken Imprastruktura (CISA) & Sentro ti Reklamo ti Krimen iti Internet ti FBI (IC3) (Estados Unidos): Panangpabassit kadagiti Atake ti Panagpalaman ti Kredensial, Panag-takeover ti Kuenta (ATO), ken Kampania ti Panagbomba iti Suskrision.
• Open Sangalubongan a Proyekto ti Seguridad ti Aplikasion (OWASP): OWASP Automatiko a Pangta a Libro: OAT-008 Pagpalaman ti Kredensial & . OAT-019 Panagtitipon ti Kuenta ken Panag-cash ti Punto ti Kinasungdo.
• Nailian nga Instituto ti Pagalagadan ken Teknolohia (NIST) (Estados Unidos): Naisangsangayan a Publikasion 800-63B: Dagiti Pagalagadan ti Digital a Kinatao: Panagpabigbig, Panagmanehar ti Siklo ti Biag, ken Panagsukimat ti Nalabsing a Password.
• Nailian a Sentro ti Seguridad ti Siber (NCSC) (United Kingdom): Panagpalaman ti Kredensial, Risgo ti Panagusar Manen ti Password, ken Multi-Factor Authentication Guidance para kadagiti Konsumidor ken Online a Serbisio.
• Pederal a Komision ti Panagtagilako (FTC) & Departamento ti Transportasion ti E.U. (DOT): Dagiti Proteksion ti Konsumidor ken Dagiti Pagalagadan ti Imbestigasion ti Panagkusit ti Programa ti Masansan nga Agtayab ti Airline / Loyalty Program.