クレデンシャル スタッフィング攻撃: 航空会社のマイル、ホテル ポイント、保存されたギフト カード残高の流出¶

誰かがあなたの航空会社のマイレージ 180,000 マイルを使って片道の国際ビジネスクラス航空券を予約した、ホテルのロイヤルティ ポイント 250,000 を見知らぬ人のアカウントに転送した、物理的なクレジット カードが財布の中にまだ安全にあるのに、保存されているスターバックス、ターゲット、ウォルマート、セフォラ、または Amazon ギフト カードの残高を空にしたという電子メール アラートで目が覚めるのは、自動クレデンシャル スタッフィング攻撃の兆候です。標的型スピアフィッシング攻撃や 銀行口座侵害、クレデンシャルスタッフィングは自動化されたボットネットソフトウェアを使用します（OpenBullet、 SilverBullet、 Sentry MBA、住宅用プロキシ ネットワークと組み合わせて）何千万もの漏洩した電子メールとパスワードの組み合わせ（過去の「組み合わせリスト」）をテストする データ侵害とパスワード漏洩）何百もの航空会社、ホテル、レストラン、ゲーム、小売店のロイヤルティ ポータルに対して同時にアクセスできます。サイバー犯罪者は特にマイレージ アカウントをターゲットとします (Delta SkyMiles、 American Airlines AAdvantage、 United MileagePlus、 British Airways Executive Club、 Air Canada Aeroplan、 Qantas Frequent Flyer)、ホテル特典(Marriott Bonvoy、 Hilton Honors、 World of Hyatt、 IHG One Rewards)、コーヒー/ファーストフード/小売アプリ (Starbucks、 Chick-fil-A、 Dunkin'、 Target Circle、 Walmart、 Ulta、 Sephora) これらのプログラムは、規制されていない「準通貨」で数千ドルを保持しており、90 秒以内にデジタル ギフト カード、Apple 電子機器、または当日の航空券に換金でき、多くの場合 必須の多要素認証は不要です (MFA) デフォルトで有効になっています。同時に何百件ものジャンク ニュースレターの登録が受信トレイに溢れていることに気付いた場合、攻撃者は正規の航空券引き換えメールやギフトカードの受け取りメールを埋めるために メール ボミング / サブスクリプション フラッドを実行していることになります。ガイドを確認してください 電子メールアカウントのハッキング、転送ルール、および回復 すぐに。差し迫った恐喝や身体的脅迫に直面した場合は、最寄りの緊急電話番号 (911 アメリカとカナダでは、 112 欧州連合全域で、 999 英国）または国際ディレクトリを参照してください。 緊急電話番号。

今すぐこれを実行してください¶

1. ** 突然 500 通のスパムメール (「電子メール爆弾」) が大量に送信された場合は、そのメールを削除する前に、受信トレイ、スパム、ゴミ箱フォルダーでその単語を検索してください。 "Redemption"、 "Points"、 "Miles"、 "Ticket"、 "eGift"、 "Order"、 "Transfer"、または "Added a payment"**: 認証情報詰め込みボットが航空会社、ホテル、または小売店アカウントの流出に成功すると、攻撃者はすぐにスクリプトを起動して、3 分以内に 500 ～ 2,000 のランダムなメーリング リストに電子メール アドレスを登録するため、ロイヤルティ アカウントが空になったばかりであることを示す 1 つの実際のレシートを見逃してしまいます。最初の 2 時間以内にその 1 つの通知を見つければ、乗客が飛行機に搭乗する前、またはバーコードを引き換える前に、ハッカーの航空券をキャンセルしたり、デジタル ギフト カードを凍結したりすることができます。
2. 感染した航空会社、ホテル、または小売店のロイヤルティ アカウントにクリーンなブラウザでログインし、パスワードを新しい 16 文字以上のランダムなパスワードに変更し、保存されているすべてのクレジット/デビット カードとリンクされた PayPal/Venmo/Apple Pay トークンを削除します:
3. 蓄積されたマイルまたはギフトカードの残高を使用することに加えて、資格情報スタッフィング スクリプトは「自動リロード」(Starbucks / Dunkin' / Toll Pass) またはワンクリック保存されたクレジット カード チェックアウトが有効になっているため、リンクされている Visa/Mastercard から 100 ドルから 500 ドルをアプリのギフト カード残高に追加して排出することができます。
4. ロイヤルティ アカウント内の [今後の旅行 / 予約 / 注文 / ポイント アクティビティ] タブを確認し、プログラムで再入金手数料が請求されたり、アクティブなモバイル セッションを介してハッカーがまだ管理しているアカウントにポイントを送り返したりする場合は、オンラインでの不正な特典航空券やホテルの予約を自分でキャンセルしないでください。:
5. 代わりに、6 文字の航空会社乗客名レコード (PNR / 確認コード)、13 桁の e チケット番号 (例: 001-... アメリカ人にとって、 006-... デルタの場合、 016-... ユナイテッドにとって、 125-... ブリティッシュ・エアウェイズの場合）、ハッカーが航空券を予約した乗客名、またはホテル確認番号/ギフトカード注文番号を伝え、ロイヤルティ プログラムの不正行為/収益保護専用デスクに直ちに電話してください。
6. 攻撃者が二次回復メールアドレス、電話番号を変更したかどうか、またはロイヤルティ プロファイル内に「家族/世帯プール/償還候補者」メンバーを追加したかどうかを確認してください:
7. のようなプログラム British Airways Executive Club、 JetBlue TrueBlue、 Hilton Honors、 Marriott Bonvoy、 Air Canada Aeroplan、そして Qantas アカウントが 世帯口座 / ポイント プール パートナー または 振替受取人 にリンクできるようにします。攻撃者は、自分のミュール アカウントをあなたのプールにリンクし、あなたのポイントをプールに排出し、あなたが明示的に監査して世帯プールを解消しない限り、パスワードを変更した後もリンクされたままになります。
8. 「自動リロード」または保存されているカードに請求された場合は、すぐに銀行またはクレジット カード発行会社に電話してください: 不正行為部門に、マーチャント アプリ アカウントが認証情報スタッフィングによって乗っ取られたことを通知してください (Unauthorized Card-Not-Present Transaction)、カード番号の即時交換をリクエストし、販売者の Visa/Mastercard アカウント アップデーターを取り消すように依頼してください (VAU/ABU) トークン を使用するため、新しい交換用カード番号が侵害された小売アプリに自動的にプッシュ戻されることはありません。
9. 同じパスワード (または次のような類似したパスワード) を使用した他のすべてのアカウントを見つけます。 Summer2024 -> Summer2025）、パスワード マネージャーを使用してすぐにローテーションします。電子メールとパスワードのペアがアクティブな認証情報スタッフィング ボットネット コンボ リストにヒットすると、自動ボットは 24 ～ 72 時間以内に、300 以上のトップ Web サイト (航空会社、ホテル、Ticketmaster/StubHub などの発券サイト、DoorDash/Uber Eats などのフードデリバリー アプリ、仮想通貨取引所、小売店) に対してその正確なパスワードをテストします。

デシジョン ツリー: 資格情報の詰め込みによるロイヤルティや小売の流出のトリアージと逆転¶

このワークフローを使用して、アクティブなポイントの流出や保管残高の盗難を阻止し、残高を回復します。

flowchart TD
    Alert["警告: 不正なマイル/ポイントの引き換え、保管されているギフトカードの流出、または 500 通以上のジャンク ニュースレター メールの突然の殺到"] --> SearchBomb["ステップ 1: メールの受信箱 + ゴミ箱 + スパムを「引き換え」、「マイル」、「ポイント」、「チケット」、「オーダー」、「リロード」、または「変更されたメール」で検索します。"]

    SearchBomb --> TargetType{"Credential-Stuffing Bot によって侵害されたのはどのタイプのアカウントですか?"}

    TargetType -->|"マイレージ航空会社 (デルタ航空、AA、ユナイテッド航空、BA航空、アエロプラン航空、カンタス航空)"| AirlinePath["ステップ 2A: 不正な PNR + 乗客名を記録 -> パスワードを変更 + MFA を有効にする -> 航空会社の不正行為/収益保護デスクに電話して、チケットを無効にし、アカウントを凍結します"]

    TargetType -->|"ホテル ロイヤルティ (マリオット ボンヴォイ、ヒルトン オナーズ、ハイアット、IHG)"| HotelPath["ステップ 2B: ポイント転送/ギフトカードのキャッシュアウト/部屋予約の「ポイントアクティビティ」を確認します -> ポイントプーリングを解消します -> ロイヤルティ詐欺チームに電話して転送を取り消します"]

    TargetType -->|"コーヒー / ファーストフード / 小売アプリ (スターバックス、ターゲット、ウォルマート、セフォラ、チックフィレイ)"| RetailPath["ステップ 2C: 保存したクレジット カードを削除 + 「自動リロード」をすぐにオフにする -> カスタマー サポートに電話して、侵害されたバーチャル ギフト カードのバーコードを無効化し、残高を再発行します"]

    AirlinePath --> AuditEmail["ステップ 3: プライマリ電子メール アカウント (Gmail/Outlook/Yahoo) に不正な転送ルールまたはフィルタがないか監査する"]
    HotelPath --> AuditEmail
    RetailPath --> AuditEmail

    AuditEmail --> RotateAll["ステップ 4: パスワード マネージャー + パスキー / TOTP 2FA を使用して、パスワードを再利用したすべてのアカウント共有をローテーションする"]

認証情報詰め込みボットが 90 秒以内にマイル、ポイント、ギフトカードを現金化する方法¶

クレデンシャルスタッフィング攻撃の正確な仕組みを理解すると、何年も放置されていたアカウントが午前 2 時に突然空になる理由が説明されます。

1. ロイヤリティとリテールアカウントがコンボリストボットの最大のターゲットである理由¶

主要な Web サイトがデータ侵害に見舞われると、何百万もの email:password ペアは コンボ リスト というテキスト ファイルにコンパイルされます。攻撃者はこれらのコンボ リストを高速ヘッドレス ブラウザ自動化ツールに読み込みます (OpenBullet 2 / SilverBullet) 構成ファイルを使用(.anom / .loli / .opk) 特定の航空会社、ホテル、小売 API 用にカスタム作成された API: 1. ステージ 1 (自動「キャプチャ」スキャン): ボットは漏洩した 50,000 件をテストします email:password モバイル アプリのログイン API に対してローテーションする住宅用プロキシを介して、1 分あたりのペア数 Marriott、 Hilton、 American Airlines、 United、 Delta、 Starbucks、 Target、または Sephora。 2. ステージ 2 (自動残高解析): ログインが成功するたびに (被害者が 4 年前に侵害されたフォーラムまたはショッピング サイトで使用したのと同じパスワードを再利用したため)、ボットのスクリプトはアカウントの ポイント/マイル残高、保存されているギフトカードの金額、保存されているクレジット カードの下 4 桁を自動的に収集し、ヒットを階層に分類します (例: "100,000+ Miles" または "$50+ Gift Card"）。 3. ステージ 3 (即時収益化 / キャッシュアウト): - ギフト カード変換ポータル (Points-to-Gift-Card): 多くのホテル、航空会社、クレジット カード ロイヤルティ ポータルでは、電子メール経由で送信されたデジタル Apple、Best Buy、Amazon、Target、Walmart、または Visa eギフト カードのポイントをオンラインで即座に引き換えることができますが、攻撃者はこれを傍受またはリダイレクトします。 - ポイントの転送と世帯プール: 攻撃者はあなたのポイントを転送します。 Hilton Honors、 Marriott Bonvoy、または Airline 「ミュール」ロイヤルティ アカウントを指すか、アカウントを 世帯プール にリンクし、ミュールのログインから引き換えます。 - 同日/翌日の国際特典航空券と高級ホテルの滞在: アンダーグラウンド テレグラムの旅行詐欺シンジケートは、ハイジャックされたアカウントの 150,000 マイルを奪い、サードパーティの購入者に同日の国際線航空券または 5 泊の高級ホテルの宿泊を予約し、ハッカーに 1 ドルあたり 30 セントの暗号通貨を支払います。 - 店内モバイル バーコード ドレイン (Starbucks、 Target Wallet、 Walmart Pay、 Sephora、 Ulta):小売アプリとコーヒー アプリの場合、ボットは保存されているギフトカードのバーコード番号/QR コードを抽出し (またはセルフ チェックアウト レジのバーナー フォンでアプリに直接ログインし)、保存されている Visa/Mastercard から 自動リロード をオンにし、店頭で再販性の高い商品や物理的なギフト カードを購入します。

2. メールアラートが届かない理由: 「メール爆弾」と受信トレイフィルターのトリック¶

攻撃者がポイントを現金化すると、ロイヤルティ プラットフォームは「常に」自動確認メールを送信します ("Your Marriott Bonvoy Points Transfer is Complete" または "Your Delta eTicket Receipt"）。航空会社に電話して離陸前に航空券をキャンセルするのに間に合うようにそのメールが表示されるのを阻止するために、攻撃者は 2 つのトリックを使用します。 - トリック A (あなたの電子メール アカウントにアクセスできない場合): 彼らは 購読爆弾 (Email Bomb)、自動スクリプトを使用して、120 秒以内に世界中の 1,000 以上の未認証 Web サイトのニュースレター登録フォームに電子メール アドレスを送信します。携帯電話は 1,000 という音を立て続けに鳴り続けます "Confirm your subscription to..." メールを 10 分で送信できるため、ほとんどの人が 1,000 件のメールすべてを選択して 削除 をクリックし、412 行目に埋め込まれた 1 つの実際の航空会社または銀行の詐欺警告を誤って削除してしまいます。 - トリック B (電子メール アカウントでもまったく同じパスワードを使用した場合): 攻撃者は Gmail、Outlook、または Yahoo Mail に直接ログインし、目に見えない 受信トレイ ルール/フィルター (If sender contains "delta.com", "marriott.com", "hilton.com", or "starbucks.com" -> Skip Inbox and Delete It / Move to Trash）、ゴミ箱フォルダーを空にすると、通知が 1 つも表示されなくなります。

フェーズ 1: 消耗した航空会社のマイルとホテル ポイントを取り消す (プロバイダーごとのハンドブック)¶

電信送金や暗号通貨取引 (一度オンチェーンで決済されると元に戻すことはできません) とは異なり、航空会社のマイル、ホテルのポイント、および社内小売ギフト カードは、会社が 100% 管理する集中リレーショナル データベース内に保管されます。ハッカーがすでにあなたのポイントを別の会員に譲渡したり、特典航空券を発行したりした場合でも、航空会社またはホテルの 企業詐欺 / 収益保護調査チームは、正確な宛先アカウントを追跡し、航空券または譲渡を無効にし、受取人のパスポート/アカウントを禁止し、新しく発行されたクリーンなロイヤルティ アカウント番号に盗まれたマイルまたはポイントの 100% を回復することができます。

以下のロイヤルティ プログラムの特定の回復手順に従ってください。

フェーズ 2: 「自動リロード」と保存された支払いトークンのドレインを停止する¶

小売店やコーヒーアプリのクレデンシャル・スタッフィングの被害者の多くは、保存されているロイヤルティ・ポイントに加えて、銀行当座預金口座やクレジット・カードから現金を失います。 自動リロードとトークン化されたウォレット ドレインの仕組みとシャットダウン方法は次のとおりです。

1. 攻撃者が「自動リロード」と「スキャン＆ペイ」を悪用する方法:
2. のようなアプリでは Starbucks、 Dunkin'、 Chick-fil-A、 Panera、 EZ-Pass / Toll Tag accounts、交通カードなど、ユーザーはクレジット カードまたは PayPal アカウントを保存して、保存された残高をリチャージすることがよくあります。
3. ハッカーがログインしたときにスターバックス カードに \(4.50** しかなかったとしても、ハッカーは保存されている Visa/Mastercard/PayPal トークンを使用して **「\)100.00 をリロード」 を 5 回連続でタップします (多くの場合、3 桁の入力を要求されません) CVV 既存のファーストパーティ ギフト カードの残高をリロードするときにこのコードを使用します)、その後すぐにその 500 ドルの残高を別のバーチャル カードに転送するか、レジで使用します。
4. クレジット カード番号を単に置き換えるだけでは不十分な場合がある理由 (Visa VAU / Mastercard ABU):
5. 不正請求を報告するために銀行に電話すると、新しい 16 桁の番号が記載された新しいクレジット カードが郵送されてきた場合、Visa (Visa Account Updater) VAU) および Mastercard (自動請求アップデーター) ABU) 新しい 16 桁のカード番号を、古いカードが保存されていた定期加盟店やモバイル ウォレットに自動的にプッシュします。
6. 侵害された小売アプリや食品配達アプリ内に攻撃者がアクティブな OAuth セッション トークンをまだ保持している場合、物理的なカードがメールボックスに届く前に、ハッキングされたアプリ内に新しい交換用カードが表示される可能性があります。
7. 銀行に伝えるべきこと: カードが保存されている販売アカウントがハッキングされた場合は、必ず銀行の詐欺専門家に次のように伝えてください。 > *「カードをキャンセルして、関連付けられている既存のデジタル販売者支払いトークンをすべて取り消してください。」 [Merchant Name]そして、私の新しいカード番号が侵害された販売業者に自動的にプッシュされないように、Visa Account Updater / Mastercard Automatic Billing Updater に一時的なオプトアウト ブロックを設定します。」

フェーズ 3: 電子メール アカウントの同時侵害と受信トレイ ルールの監査¶

65% の人が複数のアカウントで同じパスワードを再利用しているため、資格情報詰め込みボットが航空会社、ホテル、または小売店のアカウントに侵入した場合は常に、*同じボットがプライマリ電子メール アカウントにもログインしているかどうかを直ちに確認する必要があります (Gmail、 Outlook / Hotmail、 Yahoo、 iCloud、 AOL)**:

1. 電子メール アカウントのアクティブなサインイン ログを確認してください:
2. Gmail: 受信トレイの右下までスクロールし、詳細 (Last account activity)、または次のサイトにアクセスしてください myaccount.google.com/device-activity。
3. Microsoft Outlook / Hotmail / Live: にアクセスしてください account.live.com/Activity 最近のサインイン試行をすべて検査します (外国の居住地 IP アドレスからの IMAP/POP3/Exchange 資格情報スタッフィングの試行が何十回も失敗または成功することがよくあります)。
4. Yahoo メール: [アカウント情報] > [最近のアクティビティ] に移動します。
5. メール転送と自動削除フィルター ルールを今すぐ確認してください:
6. デスクトップ Web ブラウザでメール設定を開きます (モバイル メール アプリはフィルター ルールを非表示にします)。
   • Gmail: 設定 (歯車アイコン) > すべての設定を表示 > フィルタとブロックされたアドレス および 転送と POP/IMAP。
   • Outlook.com: [設定] (歯車アイコン) > [メール] > [ルール] および [メール] > [転送] および [メール] > [迷惑メール] > [ブロックされた送信者とドメイン]。
   • Yahoo メール: [設定] > [詳細設定] > [フィルタ]。
7. 次のようなルールを探します: If From/Subject contains [Airline / Hotel / Bank / PayPal / Amazon / "Security" / "Code"] -> Delete it / Mark as Read / Move to Trash / Archive。すべての不正なフィルターをすぐに削除してください。
8. 電子メール修復の完全なチュートリアルについては、次のガイドに従ってください。 電子メールアカウントのハッキング、転送ルール、および回復。

フェーズ 4: デジタル ライフ全体でパスワードの再利用を排除する¶

クレデンシャルスタッフィング攻撃は、次の 1 つの条件下でのみ機能します。そのロイヤルティ サイトまたは小売サイトで、以前にデータ侵害で発生したパスワードを使用した (または、辞書の変更ルールによって簡単に推測された)。

すべてのアカウントでクレデンシャル スタッフィングに対して永久に免疫を付けるには、次の 5 段階の強化チェックリストを完了してください。

• 1.メールアドレスを実行する Have I Been Pwned (haveibeenpwned.com):
• 個人用および仕事用の電子メール アドレスを次の場所に入力します。 haveibeenpwned.com どの過去のデータ侵害によって資格情報が漏洩したかを確認します。
• 2.ブラウザ/パスワード マネージャーを開き、「パスワード チェックアップ」を実行して、再利用されるすべてのパスワードを最初に監査および変更します:
• Apple パスワード (iOS 18 / macOS Sequoia または Settings > Passwords > Security Recommendations)、Google パスワード マネージャー (passwords.google.com/checkup), 1Password (Watchtower)、および Bitwarden (Vault Health Reports) は、保存されたすべてのログインを 「侵害されたパスワード」 と 「再利用されたパスワード」 に自動的にグループ化します。
• 再利用したパスワードを 財務/価値リスク ごとに分類し、すべてを一意でランダムに生成された 16 ～ 24 文字のパスワード (または次のような 4 単語のランダムなパスフレーズ) に置き換えます。 correct-horse-battery-staple):
  1. プライマリ電子メール アカウント (Gmail、 Outlook、 Yahoo、 iCloud）
  2. 銀行、証券会社、決済アプリ (PayPal、 Venmo、 Cash App、 Zelle）
  3. 航空会社のマイレージ アカウントとホテルのロイヤルティ アカウント (Delta、 AA、 United、 BA、 Marriott、 Hilton、 Hyatt）
  4. カード/残高を保存できる小売、発券、食品配達アプリ (Amazon、 Target、 Walmart、 Starbucks、 Ticketmaster、 Uber、 DoorDash、 Sephora、 Ulta）
• 3.多要素認証をオンにする (MFA) またはそれをサポートするすべてのロイヤルティおよびリテール アカウントのパスキー:
• 多くのユーザーは銀行と電子メールで 2FA を有効にしていますが、** を忘れていますDelta SkyMiles、 American Airlines、 United MileagePlus、 British Airways、 Air Canada Aeroplan、 Marriott Bonvoy、 Hilton Honors、 Hyatt、 Amazon、 Target、 Walmart、 Starbucks、そして Ticketmaster 2FA またはパスキー** をサポートするようになりましたが、多くの場合、アカウント セキュリティ設定内で手動で 2FA をオンにするまで、デフォルトで 2FA がオフになっています。
• 4.カジュアルな食品、コーヒー、小売りアプリ内にクレジット カードやデビット カードを保存しないでください:
• 生の 16 桁の Visa/Mastercard 番号を 40 種類のレストラン、コーヒー、ショッピング アプリ (認証情報詰め込みボットがチャージできるアプリ) 内に保存する代わりに、販売者プロフィールから保存されているカードをすべて削除し、Apple Pay または Google Pay を使用してチェックアウトするか (リロードまたは購入のたびに物理的な携帯電話でのライブ Face ID / Touch ID 生体認証スキャンが必要です)、または 販売者がロックした/使い捨ての仮想クレジット カード番号 (Privacy.com、 Capital One Eno、 Citi Virtual Account Numbers、 Revolut Disposable Cards) 毎月 25 ドルの厳しい支出制限があります。
• 5.高価値アカウントには一意のメール エイリアスを使用します:
• 主要な銀行、航空会社、ホテルのロイヤルティ アカウントのログイン電子メール アドレスを専用の電子メール エイリアス (you+loyalty@... または、公開フォーラム、ニュースレター、または小売店へのサインアップに使用されたことがない Apple Hide My Email/SimpleLogin/Fastmail エイリアス)。攻撃者のコンボ リストがあなたのログイン電子メール アドレスを知らない場合、あなたのアカウントに対してパスワードを入力しようとすることさえできません。

地域の緊急電話番号と政府機関のプロトコル¶

自動クレデンシャル スタッフィングによるロイヤルティ、旅行、および小売アカウントへの不正アクセスは、刑事犯罪です (米国 コンピュータ詐欺および不正使用法、英国 1990 年コンピュータ不正使用法、および世界中の同等の法令に基づく)。事件を報告すると、消極的な航空会社、ホテル、銀行に盗まれた残高の回復を強制するのに役立つ公式の事件番号が生成されます。

• 米国およびカナダ:
• 緊急サービス: ** にダイヤルしてください911** 物理的脅威または対面での犯罪行為があった場合。
• FBI インターネット犯罪苦情センター (IC3): ** にオンライン レポートを提出します。ic3.gov** 不正なポイント/マイル交換、不正な乗客名/PNR (表示されている場合)、および盗まれた金銭的価値を文書化します。
• 連邦取引委員会 (FTC) & 運輸省 (DOT) (米国): 小売/ギフトカード アカウントの乗っ取りを ** に報告してください。ReportFraud.ftc.gov**;セキュリティ管理が不十分であったにもかかわらず、航空会社があなたの過失ではなく盗まれたマイルの調査や回復を拒否した場合、米国政府に消費者苦情を申し立てることもできます。運輸省 (airconsumer.dot.gov) または州司法長官。
• カナダ詐欺防止センター (CAFC): オンラインでレポートを送信します。 antifraudcentre-centreantifraude.ca またはに電話してください1-888-495-8501。
• イギリス:
• 緊急サービス: ** にダイヤルしてください999** (または 101 緊急事態以外の警察の場合）。
• Action Fraud (英国国家詐欺およびサイバー犯罪報告センター): ** でオンラインで報告してください。actionfraud.police.uk** または ** に電話してください0300 123 2040、関連するフィッシング/スパムメールを ** の NCSC に転送します。report@phishing.gov.uk。
• 欧州連合:
• 緊急サービス: ** にダイヤルしてください112** すべての EU 加盟国で。
• 国家サイバー犯罪および消費者保護当局: ユーロポールの全国報告ポータル (europol.europa.eu/report-a-crime/report-cybercrime-online) 保存された支払い方法に請求があった場合は、PSD2 の未承認取引ウィンドウ内で銀行に通知します。
• オーストラリアとニュージーランド:
• 緊急サービス: ** にダイヤルしてください000** オーストラリアまたは 111 ニュージーランド。
• レポートサイバー (ACSC) & Scamwatch (オーストラリア): ** でオンラインで報告してくださいcyber.gov.au/report-and-recover/report** または ** に電話してください1300 CYBER1 (1300 292 371)**。
• CERT NZ / NetSafe (ニュージーランド): ** でのレポートcert.govt.nz** または ** に電話してください0508 NETSAFE (0508 638 723)**。
• インドとアジア太平洋:
• インド国家サイバー犯罪報告ポータル: ダイヤル 1930 金融/財布詐欺を直ちに報告するか、** まで苦情を申し立ててください。cybercrime.gov.in**。
• シンガポール (ScamShield / SPF 詐欺対策センター): 電話 1799 または 1800-722-6688。

よくある質問¶

航空会社やホテルがハッキングされていないと言っているのに、ハッカーはどのようにして私の航空会社やホテルのアカウントに侵入したのでしょうか?¶

クレデンシャルスタッフィング攻撃では、航空会社やホテル自体のデータベースが侵害される必要はありませんでした。代わりに、 違う 何年も前にアカウントを作成した Web サイト (フィットネス アプリ、チケット販売サイト、フォーラム、小売店など) がデータ侵害を受け、メール アドレスとパスワードが漏洩しました。あなたが航空会社、ホテル、またはコーヒー アプリでまったく同じパスワード (またはほぼ同じパスワード) を使用していたため、自動ボットは漏洩した電子メールとパスワードのペアを航空会社またはホテルのログイン ページに単純に「詰め込み」、そのまま侵入してしまいました。

私のポイントやギフトカードが盗まれた直後、10 分間に突然 1,000 通もの迷惑メール「ニュースレター購読の確認」を受信したのはなぜですか?¶

このようなジャンクサインアップの洪水は、 メールボム (またはサブスクリプションボム)。攻撃者の自動キャッシュアウト スクリプトは、航空会社のマイルを交換したり、ホテルのポイントを転送したり、小売口座に注文を入れたりしたまさにその瞬間に、インターネット上でランダムな 1,000 件のニュースレターにあなたの電子メール アドレスを意図的に登録させました。彼らの目標は、電話通知を圧倒し、航空会社、ホテル、または店舗からの 1 つの正規の領収書メールを埋めて、どのアカウントが流出したのか気づかずに 1,000 件のメールすべてを選択して削除できるようにすることです。受信箱やスパムフォルダーで次のような用語を検索する前に、電子メール爆弾を一括削除しないでください。 「注文」、 「ポイント」、 「マイル」、 「チケット」、 「転送」、または 「領収書」。

盗まれた航空会社のマイルで予約した航空券に乗っていた人の本名を調べて警察に通報できますか?¶

必ず乗客名記録のスクリーンショットを撮ってください (`PNR`）、乗客名、パスポート/既知の旅行者の詳細（予約画面に表示されている場合）、便名を記入し、両方の担当者に伝えます。 航空会社の企業詐欺/収益保護デスク および法執行機関（`ic3.gov`）。ただし、飛行機の座席に座っている人は、認証情報詰め込みボットネットを実行したハッカーではなく、テレグラム、ウィーチャット、またはインスタグラムで詐欺的な地下旅行ブローカーから「割引チケット」を購入した、何も知らずに第三者の旅行者であることが多いことに注意してください。航空会社の詐欺チームは航空券をキャンセルし、予約 IP と税金/手数料に使用された支払い方法を調査します。

ハッカーが別の国からログインして 200,000 ポイントを使い果たしたときに、航空会社またはホテルのアカウントがハッカーに 2FA コードを要求しなかったのはなぜですか?¶

従来のマイレージ プログラム、ホテル ロイヤルティ プログラム、および小売店プログラムの多くは、多要素認証を廃止します (`MFA`) 回った デフォルトではオフ (有効にするにはアカウント セキュリティ設定を手動で調べる必要があります) または、古い **モバイル アプリ API エンドポイント** または **パートナー ポイント転送 API** を 2FA チャレンジによって保護されないままにして、Web ポータルで 2FA のみを適用することもできます。ロイヤルティ プロファイルで 2FA/パスキーを明示的に有効にし、ランダムな 16 文字以上の固有のパスワードを使用すると、レガシー モバイル API 上でも自動認証情報詰め込みボットを停止できます。

マリオット、ヒルトン、デルタ、アメリカン、ユナイテッド、スターバックスは実際に盗まれたポイントやギフトカードの残高を返してくれるのでしょうか？¶

はい、文書化されたケースの圧倒的多数で、不正な引き換えを専門の **ロイヤルティ詐欺 / アカウント セキュリティ チーム**に速やかに報告し、固有のパスワードと 2FA を設定することが条件となります。ロイヤルティ ポイントとクローズド ループ ストア ギフト カードは、取り消し不能な現金電信送金ではなく内部帳簿に入力されるため、同社の詐欺チームは不正なホテルの予約をキャンセルし、航空券を無効にし、受取人のアカウントからポイントを取り戻し、新しいロイヤルティ会員番号またはバーチャル ギフト カード番号を発行して、残高を全額復元することができます。

関連ガイド¶

• データ侵害への対応とパスワード漏洩: アカウントを確認して保護する方法
• 電子メールアカウントのハッキング、転送ルール、および回復
• 銀行口座侵害: 不正行為の即時凍結と回復
• フィッシングおよび侵害されたアカウント
• セッション Cookie ハイジャック、インフォスティーラー マルウェア、およびパスキーの取り消し
• 国別の緊急電話番号

情報源と公式ガイダンス¶

• サイバーセキュリティ・インフラセキュリティ庁 (CISA) & FBI インターネット犯罪苦情センター (IC3) (米国): クレデンシャル スタッフィング攻撃、アカウント乗っ取りの軽減 (ATO)、およびサブスクリプション爆撃キャンペーン。
• オープンワールドワイドアプリケーションセキュリティプロジェクト (OWASP): OWASP 自動脅威ハンドブック: OAT-008 クレデンシャルスタッフィングと OAT-019 アカウント集約とロイヤルティ ポイントの現金化。
• 米国国立標準技術研究所 (NIST) (米国): 特別出版物 800-63B: デジタル ID ガイドライン: 認証、ライフサイクル管理、および侵害されたパスワードのスクリーニング。
• 国家サイバーセキュリティセンター (NCSC) (英国): 消費者およびオンライン サービス向けのクレデンシャル スタッフィング、パスワード再利用のリスク、および多要素認証に関するガイダンス。
• 連邦取引委員会 (FTC) & 米国運輸省 (DOT): 消費者保護と航空会社のフリークエント フライヤー/ロイヤルティ プログラムの不正調査基準。