Mga Pag-atake sa Credential Stuffing: Naubos na Mga Milya ng Airline, Mga Punto ng Hotel, at Mga Balanse sa Stored Gift Card¶

Nagising sa mga alerto sa email na may nag-book lang ng one-way na pang-internasyonal na business-class na flight gamit ang 180,000 ng iyong airline frequent-flyer miles, naglipat ng 250,000 hotel loyalty point sa account ng isang estranghero, o nag-empty sa iyong nakaimbak na Starbucks, Target, Walmart, Sephora, o Amazon gift card na balanse habang ang iyong pisikal na credit card ay ligtas pa ring naka-sign sa iyong credit card na may pirma Auto na credit card. Pagpupuno ng Pag-atake. Hindi tulad ng isang target na spear-phishing attack o a paglabag sa bank account, ang pagpupuno ng kredensyal ay gumagamit ng automated botnet software (OpenBullet, SilverBullet, Sentry MBA, ipinares sa mga residential proxy network) upang subukan ang sampu-sampung milyong mga leaked na kumbinasyon ng email-at-password ("mga listahan ng combo" mula sa nakaraan mga paglabag sa data at pagtagas ng password) laban sa daan-daang airline, hotel, restaurant, gaming, at retail loyalty portal nang sabay-sabay. Ang mga cybercriminal ay partikular na nagta-target ng mga frequent-flyer account (Delta SkyMiles, American Airlines AAdvantage, United MileagePlus, British Airways Executive Club, Air Canada Aeroplan, Qantas Frequent Flyer), mga reward sa hotel (Marriott Bonvoy, Hilton Honors, World of Hyatt, IHG One Rewards), at mga app ng kape/fast-food/retail (Starbucks, Chick-fil-A, Dunkin', Target Circle, Walmart, Ulta, Sephora) dahil ang mga programang ito ay nagtataglay ng libu-libong dolyar sa hindi regulated na "quasi-currency" na maaaring i-cash out sa mga digital gift card, Apple electronics, o parehong araw na mga tiket sa airline sa loob ng 90 segundo, madalas na may zero mandatory na Multi-Factor Authentication (MFA) pinagana bilang default. Kung mapapansin mo rin ang daan-daang junk newsletter na pag-signup na bumabaha sa iyong inbox sa parehong oras, ang umaatake ay nagpapatakbo ng Email Bombing / Subscription Flood upang ibaon ang lehitimong flight-redeemtion o gift-card na resibo na email; tingnan ang aming gabay sa na-hack ang email account, mga panuntunan sa pagpapasa, at pagbawi kaagad. Kung nahaharap ka sa agarang pangingikil o pisikal na banta, tawagan ang iyong lokal na numero ng emergency (911 sa Estados Unidos at Canada, 112 sa buong European Union, 999 sa United Kingdom) o kumonsulta sa aming direktoryo ng internasyonal mga numerong pang-emergency.

Gawin ito ngayon¶

1. Bago magtanggal ng biglaang pagbaha ng 500 spam emails ("Email Bomb"), hanapin ang iyong Inbox, Spam, at Trash folder para sa mga salita "Redemption", "Points", "Miles", "Ticket", "eGift", "Order", "Transfer", o "Added a payment": Sa tuwing matagumpay na nauubos ng isang credential-stuffing na bot ang isang airline, hotel, o retail account, agad na nagti-trigger ang attacker ng script na pumipirma sa iyong email address para sa 500 hanggang 2,000 random na mailing list sa loob ng 3 minuto kaya hindi mo nalaman ang nag-iisang tunay na resibo na nagpapakita kung aling loyalty account ang kaka-empty lang. Ang paghahanap sa nag-iisang notification sa loob ng unang 2 oras ay nagbibigay-daan sa iyong kanselahin ang flight ticket ng hacker o i-freeze ang digital gift card bago sumakay ang pasahero sa eroplano o i-redeem ang barcode.
2. Mag-log in sa nakompromisong airline, hotel, o retail loyalty account sa isang malinis na browser, palitan ang password sa isang bagong-bagong 16+ character na random na password, at alisin ang lahat ng naka-save na credit/debit card at naka-link na PayPal/Venmo/Apple Pay token:
3. Bilang karagdagan sa paggastos ng iyong mga naipon na milya o balanse ng gift card, sinusuri ng mga script na naglalaman ng kredensyal kung "Auto-Reload" (Starbucks / Dunkin' / Toll Pass) o ang one-click na naka-imbak na credit card checkout ay pinagana upang makapag-pump sila ng dagdag na $100 hanggang $500 mula sa iyong naka-link na Visa/Mastercard sa balanse ng gift card ng app at maubos din iyon.
4. Suriin ang tab na "Mga Paparating na Biyahe / Pagpapareserba / Mga Order / Mga Puntos na Aktibidad" sa loob ng loyalty account, at HUWAG kanselahin ang isang mapanlinlang na reward flight o hotel booking online nang mag-isa kung ang programa ay naniningil ng redeposit fee o ipapadala ang mga puntos pabalik sa isang account na kontrolado pa rin ng hacker sa pamamagitan ng isang aktibong mobile session:
5. Sa halip, isulat ang 6-character na Airline Passenger Name Record (PNR / Confirmation Code), ang 13-digit na e-Ticket Number (halimbawa, 001-... para sa Amerikano, 006-... para kay Delta, 016-... para sa United, 125-... para sa British Airways), ang pangalan ng pasahero na na-book ng hacker ang ticket sa ilalim ng, o ang Hotel Confirmation Number / Gift Card Order Number, at tawagan kaagad ang dedicated Fraud / Revenue Protection Desk ng loyalty program.
6. Suriin kung binago ng umaatake ang Pangalawang Email sa Pagbawi, Numero ng Telepono, o nagdagdag ng miyembro ng "Pamilya / Household Pooling / Redemption Nominee" sa loob ng iyong loyalty profile:
7. Mga programa tulad ng British Airways Executive Club, JetBlue TrueBlue, Hilton Honors, Marriott Bonvoy, Air Canada Aeroplan, at Qantas payagan ang mga account na mag-link ng Household Account / Points Pooling partner o Transfer Beneficiary. Ini-link ng mga attacker ang kanilang sariling mule account sa iyong pool, ibuhos ang iyong mga puntos sa pool, at mananatiling naka-link kahit na pagkatapos mong baguhin ang iyong password maliban kung tahasan mong i-audit at i-dissolve ang Household Pool.
8. Tawagan kaagad ang iyong bangko o nagbigay ng credit card kung nasingil ang isang "Auto-Reload" o nakaimbak na card: Ipaalam sa departamento ng pandaraya na ang iyong merchant app account ay kinuha sa pamamagitan ng pagpupuno ng kredensyal (Unauthorized Card-Not-Present Transaction), humiling ng agarang pagpapalit ng numero ng card, at hilingin sa kanila na bawiin ang Visa/Mastercard Account Updater ng merchant (VAU/ABU) token upang ang iyong bagong kapalit na numero ng card ay hindi awtomatikong ibabalik sa nakompromisong retail app.
9. Hanapin ang bawat iba pang account kung saan mo ginamit ang parehong password (o isang malapit na variation tulad ng Summer2024 -> Summer2025) at agad na i-rotate ang mga ito gamit ang isang tagapamahala ng password: Kapag naabot na ng iyong email at password ang pares ng password sa aktibong listahan ng botnet combo na naglalagay ng kredensyal, susubukan ng mga automated na bot ang eksaktong password na iyon laban sa mahigit 300 nangungunang website (mga airline, hotel, ticketing site tulad ng Ticketmaster/StubHub, food delivery app tulad ng DoorDash/Uber Eats, crypto exchanges, at retail 2 oras) sa susunod na 7 na oras.

Decision tree: pagsubok at pagbabaligtad ng katapatan sa paglalagay ng kredensyal o retail drain¶

Gamitin ang workflow na ito upang ihinto ang isang aktibong point drain o stored-balance na pagnanakaw at mabawi ang iyong balanse:

flowchart TD
    Alert["Alerto: Hindi awtorisadong Pagkuha ng Miles/Points, Stored Gift Card Drain, o Biglang Pagbaha ng 500+ Junk Newsletter Email"] --> SearchBomb["HAKBANG 1: Maghanap sa Email Inbox + Trash + Spam para sa 'Pagkuha', 'Miles', 'Mga Puntos', 'Ticket', 'Order', 'I-reload', o 'Binagong Email'"]

    SearchBomb --> TargetType{"Aling Uri ng Account ang Nilabag ng Credential-Stuffing Bot?"}

    TargetType -->|"Airline Frequent Flyer (Delta, AA, United, BA, Aeroplan, Qantas)"| AirlinePath["HAKBANG 2A: I-record ang Rogue PNR + Pangalan ng Pasahero -> Baguhin ang Password + Paganahin ang MFA -> Tawagan ang Airline Fraud / Revenue Protection Desk para Mag-void ng Ticket at I-freeze ang Account"]

    TargetType -->|"Katapatan sa Hotel (Marriott Bonvoy, Hilton Honors, Hyatt, IHG)"| HotelPath["STEP 2B: Suriin ang 'Points Activity' para sa Point Transfers / Gift Card Cashouts / Room Bookings -> Dissolve 'Points Pooling' -> Call Loyalty Fraud Team to Reverse Transfer"]

    TargetType -->|"Kape / Fast-Food / Retail App (Starbucks, Target, Walmart, Sephora, Chick-fil-A)"| RetailPath["HAKBANG 2C: Tanggalin ang Mga Naka-save na Credit Card + I-OFF Kaagad ang 'Auto-Reload' -> Tawagan ang Customer Support para I-deactivate ang Nakompromiso na Virtual Gift Card Barcode at Muling Pag-iisyu ng Balanse"]

    AirlinePath --> AuditEmail["HAKBANG 3: I-audit ang Iyong Pangunahing Email Account (Gmail/Outlook/Yahoo) para sa Rogue Forwarding Rules o Mga Filter na Nagde-delete ng Loyalty Emails"]
    HotelPath --> AuditEmail
    RetailPath --> AuditEmail

    AuditEmail --> RotateAll["HAKBANG 4: I-rotate ang Bawat Pagbabahagi ng Account na Muling Ginamit ang Password Gamit ang isang Password Manager + Mga Passkey / TOTP 2FA"]

Paano ang mga bot na naglalagay ng kredensyal ay nagpapalabas ng milya, puntos, at gift card sa loob ng wala pang 90 segundo¶

Ang pag-unawa sa eksaktong mekanika ng pag-atake sa paglalagay ng kredensyal ay nagpapaliwanag kung bakit ang mga account na matagal nang hindi nagalaw ay biglang nawalan ng laman sa 02:00 AM:

1. Bakit Ang Loyalty & Retail Accounts ang #1 Target para sa Combo-List Bot¶

Kapag ang isang pangunahing website ay dumanas ng data breach, milyon-milyong email:password ang mga pares ay pinagsama-sama sa mga text file na tinatawag na Combo Lists. Nilo-load ng mga attacker ang mga combo list na ito sa high-speed na mga tool sa automation ng browser na walang ulo (OpenBullet 2 / SilverBullet) gamit ang Config file (.anom / .loli / .opk) custom-written para sa partikular na airline, hotel, at retail API: 1. Stage 1 (Automated "Capture" Scanning): Sinusuri ng bot ang 50,000 leaked email:password mga pares bawat minuto sa pamamagitan ng umiikot na residential proxies laban sa mobile app login API ng Marriott, Hilton, American Airlines, United, Delta, Starbucks, Target, o Sephora. 2. Stage 2 (Automated Balance Parsing): Sa tuwing magtagumpay ang pag-log in (dahil ginamit muli ng biktima ang parehong password na ginamit nila sa isang nalabag na forum o shopping site 4 na taon na ang nakakaraan), awtomatikong kinukuskos ng script ng bot ang Point/Mile Balance, Stored Gift Card Value, at **Saved Credit Card Last-4 Digits, tiers, halimbawa, pag-uuri-uri ng mga hit ng account "100,000+ Miles" o "$50+ Gift Card"). 3. Stage 3 (Instant Monetization / Cashout): - Mga Portal ng Conversion ng Gift Card (Points-to-Gift-Card): Maraming hotel, airline, at credit-card loyalty portal ang nagbibigay-daan sa agarang online na pagkuha ng mga puntos para sa digital Apple, Best Buy, Amazon, Target, Walmart, o Visa eGift card na ipinadala sa pamamagitan ng email, na naharang o nire-redirect ng attacker. - Mga Point Transfer at Household Pool: Inilipat ng attacker ang iyong Hilton Honors, Marriott Bonvoy, o Airline tumuturo sa isang "mule" na loyalty account, o nagli-link sa iyong account sa isang Household Pool at tinutubos ang mga ito mula sa login ng mule. - Same-Day / Next-Day International Award Flights & Luxury Hotel Stays: Kinukuha ng Underground Telegram travel-fraud syndicates ang iyong na-hijack na account na may 150,000 milya at nag-book ng parehong araw na international flight o 5-night luxury hotel stay para sa isang third-party na mamimili na binabayaran ang hacker ng 30 cents sa dolyar sa cryptocurrency. - In-Store Mobile Barcode Draining (Starbucks, Target Wallet, Walmart Pay, Sephora, Ulta): Para sa mga retail at coffee app, kinukuha ng bot ang iyong nakaimbak na gift-card barcode number/QR code (o direktang magla-log in sa iyong app sa isang burner phone sa isang self-checkout register), ino-on ang Auto-Reload mula sa iyong naka-save na Visa/Mastercard, at bibili ng high-resale na merchandise o mga pisikal na gift card sa tindahan.

2. Bakit Hindi Ka Nakakuha ng Email Alert: Ang "Email Bomb" at Inbox Filter Trick¶

Kapag na-cash ng isang attacker ang iyong mga puntos, ang platform ng katapatan palaging ay nagpapadala ng isang awtomatikong email ng kumpirmasyon ("Your Marriott Bonvoy Points Transfer is Complete" o "Your Delta eTicket Receipt"). Para pigilan kang makita ang email na iyon sa oras para tawagan ang airline at kanselahin ang ticket bago mag-takeoff, gumagamit ang mga attacker ng dalawang trick: - Trick A (Kung WALA silang access sa iyong email account): Naglulunsad sila ng Subscription Bomb (Email Bomb), gamit ang mga automated na script upang isumite ang iyong email address sa 1,000+ hindi napatotohanang mga form sa pag-signup sa newsletter ng website sa buong mundo sa loob ng 120 segundo. Walang tigil na buzz ang iyong telepono ng 1,000 "Confirm your subscription to..." mga email sa loob ng 10 minuto, na naging dahilan upang piliin ng karamihan ng mga tao ang lahat ng 1,000 email at pindutin ang Delete, na hindi sinasadyang natanggal ang nag-iisang totoong airline o bank fraud alert na nakabaon sa linya 412. - Trick B (Kung ginamit mo rin ang EXACT SAME password sa iyong Email Account): Direktang magla-log in ang attacker sa iyong Gmail, Outlook, o Yahoo Mail, lumilikha ng hindi nakikitang Inbox Rule / Filter (If sender contains "delta.com", "marriott.com", "hilton.com", or "starbucks.com" -> Skip Inbox and Delete It / Move to Trash), at binibigyan ng laman ang iyong Trash folder para hindi ka na makakita ng kahit isang notification.

Phase 1: Pag-reverse ng Drained Airline Miles at Hotel Points (Playbook ng Provider-by-Provider)¶

Hindi tulad ng mga wire transfer o mga transaksyong cryptocurrency (na hindi na mababawi kapag naayos na on-chain), airline miles, hotel points, at internal retail gift card ay nasa loob ng isang sentralisadong relational database na kontrolado ng kumpanya nang 100 porsyento. Kahit na nailipat na ng hacker ang iyong mga puntos sa ibang miyembro o nag-isyu ng award na flight ticket, ang Corporate Fraud / Revenue Protection Investigation Team ng airline o hotel ay maaaring masubaybayan ang eksaktong patutunguhang account, i-void ang ticket o transfer, i-ban ang pasaporte/account ng tatanggap, at ibalik ang 100 porsiyento ng iyong mga ninakaw na milya o puntos sa isang bagong ibinigay na numero ng loyalty account, malinis na loyalty account.

Sundin ang mga partikular na hakbang sa pagbawi para sa iyong loyalty program sa ibaba:

Phase 2: Paghinto sa "Auto-Reload" at Saved Payment Token Drain¶

Maraming biktima ng retail at coffee-app na pagpupuno ng kredensyal ang nawawalan ng totoong pera mula sa kanilang bank checking account o credit card bilang karagdagan sa kanilang mga nakaimbak na loyalty point. Narito kung paano gumagana ang Auto-Reload at Tokenized Wallet Drain at kung paano ito isara:

1. Paano Sinasamantala ng mga Attacker ang "Auto-Reload" at "I-scan at Magbayad":
2. Sa mga app tulad ng Starbucks, Dunkin', Chick-fil-A, Panera, EZ-Pass / Toll Tag accounts, at mga transit card, kadalasang nagse-save ang mga user ng credit card o PayPal account upang muling makarga ang kanilang nakaimbak na balanse.
3. Kahit na ang iyong Starbucks card ay mayroon lamang $4.50 kapag nag-log in ang hacker, tina-tap ng hacker ang "I-reload ang $100.00" limang beses na magkakasunod gamit ang iyong naka-save na Visa/Mastercard/PayPal token (na kadalasang hindi nag-prompt para sa 3-digit na numero. CVV code kapag nire-reload ang isang kasalukuyang balanse ng first-party na gift card), pagkatapos ay agad na ilipat ang balanseng $500 na iyon sa isang hiwalay na virtual card o gagastusin ito sa isang rehistro.
4. Bakit Minsan Hindi Sapat ang Pagpalit lang ng Numero ng Iyong Credit Card (Visa VAU / Mastercard ABU):
5. Kapag tumawag ka sa iyong bangko para mag-ulat ng mapanlinlang na singil at nagpadala sila sa iyo ng bagong credit card na may bagong 16 na digit na numero, Visa (Visa Account Updater VAU) at Mastercard (Awtomatikong Pag-update ng Pagsingil ABU) awtomatikong itulak ang iyong bagong-bagong 16-digit na numero ng card sa mga umuulit na merchant at mobile wallet kung saan naka-store ang iyong lumang card.
6. Kung ang umaatake ay mayroon pa ring aktibong OAuth session token sa loob ng iyong nakompromisong retail o food-delivery app, ang iyong bagong kapalit na card ay maaaring lumabas mismo sa loob ng na-hack na app bago pa man dumating ang iyong pisikal na card sa iyong mailbox.
7. Ano ang sasabihin sa iyong bangko: Sa tuwing na-hack ang isang merchant account na may naka-save na card, sabihin sa espesyalista sa pandaraya ng iyong bangko: > "Pakikansela ang aking card, bawiin ang lahat ng umiiral na mga token ng pagbabayad ng digital merchant na nauugnay sa [Merchant Name], at maglagay ng pansamantalang opt-out block sa Visa Account Updater / Mastercard Automatic Billing Updater para hindi awtomatikong ma-push ang aking bagong card number sa nakompromisong merchant."

Phase 3: Pag-audit sa Iyong Email Account para sa Kasabay na Pagkompromiso at Mga Panuntunan sa Inbox¶

Dahil 65 porsiyento ng mga tao ay muling gumagamit ng parehong password sa maraming account, sa tuwing may credential-stuffing bot na pumasok sa iyong airline, hotel, o retail account, dapat mong suriin kaagad kung ang parehong bot na iyon ay naka-log in din sa iyong pangunahing Email Account (Gmail, Outlook / Hotmail, Yahoo, iCloud, AOL):

1. Suriin ang Aktibong Sign-In Logs sa Iyong Email Account:
2. Gmail: Mag-scroll sa kanang ibaba ng iyong inbox at i-click ang Mga Detalye (Last account activity), o bumisita myaccount.google.com/device-activity.
3. Microsoft Outlook / Hotmail / Live: Bisitahin account.live.com/Activity at siyasatin ang bawat kamakailang pagtatangka sa pag-sign in (madalas kang makakita ng dose-dosenang nabigo at matagumpay na IMAP/POP3/Exchange na mga pagtatangka sa paglalagay ng kredensyal mula sa mga dayuhang residential IP address).
4. Yahoo Mail: Pumunta sa Impormasyon ng Account > Kamakailang Aktibidad.
5. Suriin ang Iyong Mga Panuntunan sa Pagpapasa ng Email at Awtomatikong Pagtanggal sa Filter NGAYON:
6. Buksan ang iyong mga setting ng email sa isang desktop web browser (itinago ng mga mobile mail app ang mga panuntunan sa filter):
   • Gmail: Mga Setting (Gear Icon) > Tingnan ang lahat ng setting > Mga Filter at Naka-block na Address AT Pagpapasa at POP/IMAP.
   • Outlook.com: Mga Setting (Gear Icon) > Mail > Mga Panuntunan AT Mail > Pagpasa AT Mail > Junk email > Mga naka-block na nagpadala at domain.
   • Yahoo Mail: Mga Setting > Higit pang Mga Setting > Mga Filter.
7. Maghanap ng anumang panuntunan na nagsasabing: If From/Subject contains [Airline / Hotel / Bank / PayPal / Amazon / "Security" / "Code"] -> Delete it / Mark as Read / Move to Trash / Archive. Tanggalin kaagad ang bawat rogue na filter.
8. Para sa kumpletong walkthrough ng email remediation, sundin ang aming gabay sa na-hack ang email account, mga panuntunan sa pagpapasa, at pagbawi.

Phase 4: Pag-aalis ng Muling Paggamit ng Password sa Buong Buong Digital Mong Buhay¶

Gumagana lang ang isang pag-atake sa paglalagay ng kredensyal sa ilalim ng isang kundisyon: gumamit ka ng password sa loyalty o retail site na iyon na dating lumabas sa isang paglabag sa data (o madaling nahulaan ng isang panuntunan sa mutation ng diksyunaryo).

Upang permanenteng mabakunahan ang iyong sarili laban sa pagpupuno ng kredensyal sa lahat ng iyong account, kumpletuhin itong 5-step na checklist ng hardening:

• 1. Patakbuhin ang Iyong Mga Email Address Have I Been Pwned (haveibeenpwned.com):
• Ilagay ang iyong mga personal at trabahong email address sa haveibeenpwned.com upang makita kung aling mga paglabag sa makasaysayang data ang naglantad sa iyong mga kredensyal.
• 2. Buksan ang Iyong Browser / Password Manager "Password Checkup" Audit at Baguhin muna ang Bawat Muling Nagamit na Password:
• Mga Apple Password (iOS 18 / macOS Sequoia o Settings > Passwords > Security Recommendations), Google Password Manager (passwords.google.com/checkup), 1Password (Watchtower), at Bitwarden (Vault Health Reports) ay awtomatikong igrupo ang lahat ng iyong mga naka-save na login sa "Mga Nakompromisong Password" at "Mga Nagamit muli na Password".
• Pagbukud-bukurin ang iyong mga muling ginamit na password ayon sa panganib sa pananalapi/halaga at palitan ang bawat isa ng natatangi, random na nabuong 16-to-24-character na password (o isang 4 na salita na random na passphrase tulad ng correct-horse-battery-staple):
  1. Mga Pangunahing Email Account (Gmail, Outlook, Yahoo, iCloud)
  2. Mga Bangko, Brokerage, at App sa Pagbabayad (PayPal, Venmo, Cash App, Zelle)
  3. Airline Frequent-Flyer at Hotel Loyalty Accounts (Delta, AA, United, BA, Marriott, Hilton, Hyatt)
  4. Mga App sa Pagtitingi, Pagtiket at Paghahatid ng Pagkain na may Mga Nakaimbak na Card/Balanse (Amazon, Target, Walmart, Starbucks, Ticketmaster, Uber, DoorDash, Sephora, Ulta)
• 3. I-ON ang Multi-Factor Authentication (MFA) o Mga Passkey sa Bawat Loyalty at Retail Account na Sumusuporta Dito:
• Maraming user ang nagpapagana ng 2FA sa kanilang bangko at email ngunit nakakalimutan na Delta SkyMiles, American Airlines, United MileagePlus, British Airways, Air Canada Aeroplan, Marriott Bonvoy, Hilton Honors, Hyatt, Amazon, Target, Walmart, Starbucks, at Ticketmaster Sinusuportahan na ngayon ang 2FA o Mga Passkey, ngunit marami ang umaalis sa 2FA NAKA-OFF bilang default hanggang sa manu-mano mo itong i-on sa loob ng Mga Setting ng Seguridad ng Account.
• 4. Huwag Mag-imbak ng Credit Card o Debit Card sa Loob ng Casual Food, Coffee, o Retail Apps:
• Sa halip na i-store ang iyong raw 16-digit na Visa/Mastercard number sa loob ng 40 iba't ibang restaurant, coffee, at shopping app (kung saan maaaring singilin ito ng anumang credential-stuffing bot), tanggalin ang lahat ng naka-save na card mula sa mga profile ng merchant at tingnan gamit ang Apple Pay o Google Pay (na nangangailangan ng iyong live na Face ID / Touch ID biometric scan sa iyong pisikal na telepono), o gumamit ng mga numero ng virtual na pag-reload o** para sa bawat isang reload o** na credit card. (Privacy.com, Capital One Eno, Citi Virtual Account Numbers, Revolut Disposable Cards) na may mahigpit na $25 buwanang limitasyon sa paggastos.
• 5. Gumamit ng Mga Natatanging Alyas sa Email para sa Mga High-Value na Account:
• Pag-isipang baguhin ang email address sa pag-log in sa iyong pangunahing bank, airline, at hotel loyalty account sa isang nakatalagang email alias (you+loyalty@... o isang Apple Hide My Email / SimpleLogin / Fastmail alias) na hindi kailanman ginamit upang mag-sign up para sa mga pampublikong forum, newsletter, o retail na tindahan. Kung hindi alam ng combo list ng isang attacker ang iyong email address sa pag-login, hindi nila maaaring subukang maglagay ng password laban sa iyong account.

Mga panrehiyong numero ng emergency at mga protocol ng ahensya¶

Ang hindi awtorisadong pag-access sa katapatan, paglalakbay, at retail na mga account sa pamamagitan ng awtomatikong pagpupuno ng kredensyal ay isang kriminal na pagkakasala (sa ilalim ng US Computer Fraud and Abuse Act, ang UK Computer Misuse Act 1990, at mga katumbas na batas sa buong mundo). Ang pag-uulat sa insidente ay bumubuo ng isang opisyal na numero ng kaso na tumutulong na pilitin ang mga nag-aatubiling airline, hotel, o bangko na ibalik ang mga ninakaw na balanse:

• Estados Unidos at Canada:
• Mga Serbisyong Pang-emergency: I-dial 911 kung mayroong anumang pisikal na banta o personal na aktibidad na kriminal.
• FBI Internet Crime Complaint Center (IC3): Mag-file ng online na ulat sa ic3.gov pagdodokumento ng hindi awtorisadong pagkuha ng punto/milya, ang masamang pangalan ng pasahero/PNR kung nakikita, at ang halaga ng pera na ninakaw.
• Federal Trade Commission (FTC) at Kagawaran ng Transportasyon (DOT) (US): Iulat ang pagkuha sa retail/gift-card account sa ReportFraud.ftc.gov; kung ang isang airline ay tumangging mag-imbestiga o mag-restore ng mga milya na ninakaw nang hindi mo kasalanan kapag kulang ang mga kontrol sa seguridad, maaari ka ring maghain ng reklamo ng consumer sa U.S. Kagawaran ng Transportasyon (airconsumer.dot.gov) o Attorney General ng estado.
• Canadian Anti-Fraud Center (CAFC): Mag-ulat online sa antifraudcentre-centreantifraude.ca o tumawag 1-888-495-8501.
• United Kingdom:
• Mga Serbisyong Pang-emergency: I-dial 999 (o 101 para sa hindi emergency na pulis).
• Action Fraud (UK National Fraud and Cyber Crime Reporting Center): Mag-ulat online sa actionfraud.police.uko tumawag 0300 123 2040, at ipasa ang anumang nauugnay na phishing/spam na email sa NCSC sa report@phishing.gov.uk.
• European Union:
• Mga Serbisyong Pang-emergency: I-dial 112 sa lahat ng estadong miyembro ng EU.
• Pambansang Cybercrime at Mga Awtoridad sa Proteksyon ng Consumer: Maghain ng ulat ng pulisya sa pamamagitan ng pambansang portal ng pag-uulat ng Europol (europol.europa.eu/report-a-crime/report-cybercrime-online) at abisuhan ang iyong bangko sa loob ng PSD2 unauthorized-transaction window kung nasingil ang isang naka-save na paraan ng pagbabayad.
• Australia at New Zealand:
• Mga Serbisyong Pang-emergency: I-dial 000 sa Australia o 111 sa New Zealand.
• ReportCyber ​​(ACSC) at Scamwatch (Australia): Mag-ulat online sa cyber.gov.au/report-and-recover/reporto tumawag 1300 CYBER1 (1300 292 371).
• CERT NZ / NetSafe (New Zealand): Iulat sa cert.govt.nzo tumawag 0508 NETSAFE (0508 638 723).
• India at Asia-Pacific:
• India National Cyber Crime Reporting Portal: Dial 1930 agad na mag-ulat ng pandaraya sa pananalapi/pitaka o maghain ng reklamo sa cybercrime.gov.in.
• Singapore (ScamShield / SPF Anti-Scam Center): Tumawag 1799o 1800-722-6688.

Mga madalas itanong¶

Paano nakapasok ang mga hacker sa aking airline o hotel account kapag sinabi ng airline o hotel na iyon na HINDI sila na-hack?¶

Sa isang pag-atake ng credential-stuffing, hindi kailangang labagin ang sariling database ng airline o hotel. Sa halip, a magkaiba Ang website kung saan ka gumawa ng account ilang taon na ang nakalipas (gaya ng fitness app, ticketing site, forum, o retail store) ay nagkaroon ng data breach na nag-leak sa iyong email address at password. Dahil ginamit mo ang eksaktong parehong password (o halos magkaparehong variation) sa iyong airline, hotel, o coffee app, "pinalamanan" lang ng mga automated na bot ang iyong na-leak na pares ng email-at-password sa pahina ng pag-login ng airline o hotel at pumasok kaagad.

Bakit bigla akong nakatanggap ng 1,000 junk na "Kumpirmahin ang iyong subscription sa newsletter" sa loob ng 10 minuto nang ninakaw ang aking mga puntos o gift card?¶

Ang pagbaha ng junk signup na iyon ay tinatawag na isang Email Bomb (o Subscription Bomb). Sinadyang nilagdaan ng automated cashout script ng attacker ang iyong email address para sa 1,000 random na newsletter sa internet sa eksaktong sandali na na-redeem nila ang iyong airline miles, inilipat ang iyong mga hotel point, o nag-order sa iyong retail account. Ang kanilang layunin ay puspusin ang iyong mga notification sa telepono at ibaon ang nag-iisang lehitimong email ng resibo mula sa airline, hotel, o tindahan upang mapili mo ang lahat ng 1,000 email at tanggalin ang mga ito nang hindi namamalayan kung aling account ang katatapos lang. Huwag kailanman bulk-delete ng email bomb bago maghanap sa iyong inbox at spam folder para sa mga terminong tulad "Order", "Mga puntos", "Miles", "Ticket", "Paglipat", o "resibo".

Maaari ko bang hanapin ang tunay na pangalan ng taong lumilipad sa ticket na na-book sa aking ninakaw na milya ng eroplano at iulat sila sa pulisya?¶

Dapat mong i-screenshot ang Tala ng Pangalan ng Pasahero (`PNR`), pangalan ng pasahero, mga detalye ng pasaporte/Kilalang Manlalakbay (kung makikita sa screen ng reservation), at numero ng flight at ibigay ang mga ito sa parehong Corporate Fraud / Revenue Protection Desk ng airline at pagpapatupad ng batas (`ic3.gov`). Gayunpaman, tandaan na ang taong nakaupo sa upuan ng eroplanong iyon ay kadalasang isang hindi sinasadyang third-party na manlalakbay na bumili ng "discounted ticket" mula sa isang mapanlinlang na underground travel broker sa Telegram, WeChat, o Instagram, sa halip na ang hacker na nagpapatakbo ng credential-stuffing botnet. Kakanselahin ng fraud team ng airline ang ticket at iimbestigahan ang booking IP at paraan ng pagbabayad na ginamit para sa mga buwis/bayad.

Bakit hindi humingi ng 2FA code ang aking airline o hotel account sa hacker noong nag-log in sila mula sa ibang bansa at naubos ang 200,000 puntos?¶

Maraming legacy na frequent-flyer, hotel loyalty, at retail program ang maaaring umalis sa Multi-Factor Authentication (`MFA`) lumingon NAKA-OFF bilang default (nangangailangan sa iyong manual na humukay sa mga setting ng Seguridad ng Account para i-on ito) o ipatupad lang ang 2FA sa kanilang web portal habang iniiwan ang mga lumang **mobile app API endpoint** o **partner point-transfer API** na hindi protektado ng 2FA challenges. Ang pag-enable ng 2FA/Passkeys nang tahasan sa iyong loyalty profile at paggamit ng isang natatangi, random na 16+ character na password ay humihinto sa mga automated na credential-stuffing bot kahit na sa mga legacy na mobile API.

Ibabalik ba talaga sa akin ng Marriott, Hilton, Delta, American, United, o Starbucks ang aking mga ninakaw na puntos o balanse ng gift card?¶

Oo, sa napakaraming nakadokumentong kaso, kung iulat mo kaagad ang hindi awtorisadong pagkuha sa kanilang nakatuong **Loyalty Fraud / Account Security team** at mag-set up ng natatanging password at 2FA. Dahil ang mga loyalty point at closed-loop store na gift card ay mga internal ledger entries sa halip na mga irreversible cash wire transfer, maaaring kanselahin ng fraud team ng kumpanya ang rogue na reservation sa hotel, i-void ang flight ticket, bawiin ang mga puntos mula sa account ng tatanggap, bigyan ka ng bagong loyalty member number o virtual gift card number, at ibalik ang iyong buong balanse.

Mga kaugnay na gabay¶

• Ang pagtugon sa paglabag sa data at paglabas ng password: kung paano suriin at i-secure ang iyong mga account
• Na-hack ang email account, mga panuntunan sa pagpapasa, at pagbawi
• Paglabag sa bank account: agarang pag-freeze at pagbawi ng panloloko
• Mga phishing at nakompromisong account
• Pag-hijack ng cookie ng session, malware ng infostealer, at pagbawi ng passkey
• Mga numerong pang-emergency ayon sa bansa

Mga mapagkukunan at opisyal na patnubay¶

• Cybersecurity at Infrastructure Security Agency (CISA) at FBI Internet Crime Complaint Center (IC3) (Estados Unidos): Pagbabawas sa Pag-atake sa Pagpupuno ng Kredensyal, Pagkuha ng Account (ATO), at Mga Subscription Bombing Campaign.
• Buksan ang Worldwide Application Security Project (OWASP): OWASP Automated Threat Handbook: OAT-008 Credential Stuffing & OAT-019 Account Aggregation at Loyalty Point Cashing.
• National Institute of Standards and Technology (NIST) (Estados Unidos): Espesyal na Publikasyon 800-63B: Mga Alituntunin sa Digital Identity: Pagpapatotoo, Pamamahala ng Lifecycle, at Pag-screen ng Nilabag na Password.
• National Cyber ​​Security Center (NCSC) (United Kingdom): Credential Stuffing, Mga Panganib sa Paggamit muli ng Password, at Multi-Factor Authentication Guidance para sa Mga Consumer at Online na Serbisyo.
• Federal Trade Commission (FTC) at U.S. Department of Transportation (DOT): Mga Proteksyon ng Consumer at Airline Frequent-Flyer / Loyalty Program na Mga Pamantayan sa Pagsisiyasat sa Panloloko.