Na czarnym rynku lojalnościowym panuje żywy i mroczny handel punktami. Ciągle słyszymy o zhakowanych kontach i skradzionych milach. Ale jest też ciemniejsza i bardziej wyrafinowana strona tej historii. Ktoś przechwycił loty podróżnego. Punkty zostały przelane na konto utworzone przez oszustów. Ofiara przez wiele miesięcy nawet nie wiedziała, co się stało.
To nie tylko usterka techniczna. Jest to przemyślany projekt. Wczoraj po raz pierwszy wspomniałem o tym zdarzeniu. Pojawiły się jednak nowe szczegóły. Teraz lepiej rozumiemy, w jaki sposób dochodzi do tego przechwytywania i dlaczego pasażerowie Cathay Pacific są celem w pierwszej kolejności.
Wykrywanie ataku
Czytelnik bloga OMAAT podzielił się przerażającym doświadczeniem. Przez ostatni rok zajmował się organizacją lotów. Nie przyznano jeszcze za nie punktów. Latał w klasie biznes na trasach długodystansowych Cathay Pacific. Według stawek za punkty. Brak statusu elity.
Spojrzał na swoje karty pokładowe. Wymieniony tam program lojalnościowy obejmował Cathay Pacific. Zalogował się więc na swoje konto. Nie było żadnych punktów.
Sprawdził sześciomiesięczny okres, w którym można składać wnioski online o naliczenie brakujących mil. Termin upłynął. Następnie próbował skontaktować się z pomocą techniczną za pośrednictwem WhatsApp.
Tutaj zaczęła się zabawa.
Agent poinformował, że loty zostały zapisane w amerykańskim programie. Podróżny założył, że ma na myśli jakiekolwiek amerykańskie linie lotnicze. American Airlines czy Alaska Airlines. Sprawdził swoje konto w planie milowym Alaska. Nic tam nie było.
Ponownie przeczytał wiadomość. Amerykańskie linie lotnicze. Próbował zalogować się na swoje konto AA. Zostało zablokowane.
Konto jest zablokowane od 2022 roku. Ktoś próbował się na nie zalogować. Podróżnik nigdy nie korzystał z AA. Musiał przeoczyć uwagi dotyczące bezpieczeństwa lub je zignorować. W końcu udało mu się odzyskać numer AAdvantage.
Znów zadzwonił do Cathay Pacific. Agent potwierdził, że punkty trafiły do amerykańskiego AAdvantage. Nie na jego numer. Na inny numer konta.
Podróżny sprawdził ten nowy numer. Użył narzędzia do resetowania hasła na stronie American Airlines. Wpisałeś własne imię. Czy oszuści nie potrzebują nazwy odpowiadającej punktom kredytowym?
To zadziałało. Konto istniało.
A co z e-mailem? Dziwna domena: @qmdfcd.com.
Przeszukał WHOIS. Domena została zarejestrowana w Pekinie. W ubiegłym roku.
Zadzwonił do American Airlines. Personel nazwał to „dziwacznym” (dziwna rzecz). Mówili, że nigdy wcześniej nie spotkali się z czymś takim. Otworzyli sprawę o oszustwo. Ale najpierw? Musiał odblokować własne konto.
Agent Cathay Pacific? Ubliżający. Bezużyteczny. Nie martw się o zagrożone dane.
Uprośćmy to. Mile Cathay Pacific tej osoby zostały przekierowane. Konto American Airlines, którego nie był właścicielem. Konto zostało połączone z domeną powłoki w Chinach.
Dlaczego to jest ważne
Większość kradzieży mil wiąże się z włamaniem na konto. Kradzież mil. Wypłacają pieniądze za bilety last minute. Podróżny często dowiaduje się o tym dopiero wtedy, gdy linia lotnicza anuluje rezerwację. To opłacalne. Haker zdobywa milion mil.
Ten schemat? Mniej oczywiste. Zazwyczaj mile można przyznać wyłącznie temu samemu nazwisku, co pasażer. Nie można więc ich po prostu „wrzucić” w nic. Liczba mil na bilet jest niewielka. To nie jest warte milionów.
Ale spójrz na szerszy obraz. To się często zdarza. Znacznie częściej niż myślałem.
Jak to działa?
Często jest to zagrożenie wewnętrzne. Pracownik linii lotniczej. Wykonawca. Widzą bilet bez numeru programu lojalnościowego. Lub z numerem, który można zmienić. Zmieniają numer. Mile zostały przechwycone.
Albo zbierają zużyte karty pokładowe. Nie mają nadrukowanego numeru programu lojalnościowego. Piszą własne.
Tworzą konta. Z tym samym nazwiskiem co pasażer. Aby ominąć kontrole sprawdzające. Następnie punkty są wymieniane. Być może nie na bilet pierwszej klasy. Ale za towar. Lub karty podarunkowe. Lub opcje zwrotu pieniędzy. Kwota się kumuluje.
Jest to szczególnie niekorzystne dla Cathay Pacific. Linia lotnicza zmieniła niedawno swoje zasady, zabraniając pasażerom zmiany numerów w programie lojalnościowym po odprawie lotniczej. Pod koniec 2025 roku.
Myślałem, że ma to związek z korzyściami płynącymi ze statusu elity. Gromadząc mile w jednym programie i wydając je w innym. Okazało się, że główną motywacją było prawdopodobnie zapobieganie oszustwom. Zatrzymywanie przechwytów.
Czerwone flagi
Zwróć uwagę na domenę. qmdfcd.com. Wygląda losowo. Został zarejestrowany w Pekinie.
Konto zablokowane od lat. Oszust zweryfikował dane uwierzytelniające. Czekałem.
Cathay Pacific nie od razu zasygnalizowała rozbieżność. Lub odnotowane, ale zignorowane.
Podróżnik musiał przekopać się przez miesiące danych, aby znaleźć rozbieżności. Większość ludzi nigdy tego nie sprawdza. Polegają na milach, które są dla nich nagrodą. Nie są nagradzani.
Co można zrobić?
Jeśli po odprawie lecisz linią Cathay Pacific lub inną niedbałą linią lotniczą, miej oko na swoje konta.
Regularnie sprawdzaj saldo. Nie czekaj na przypomnienie e-mailem.
Jeśli mile nie zostaną naliczone w wyznaczonym terminie, działaj szybko. Przed upływem sześciu miesięcy.
Jeśli zobaczysz konto, które nie należy do Ciebie? Skontaktuj się z ochroną linii lotniczych. Nie tylko obsługa klienta. Zażądaj śledztwa.
Nie ufaj agentom, którzy bagatelizują Twoje obawy.
Jeśli będziesz czekać, mile zostaną utracone. Czasami zaangażowany pracownik linii lotniczej jest zainteresowany utrzymaniem sprawy w tajemnicy.
To nie jest dzieło jednego złego gracza. Jest to system pozwalający na przechwytywanie mil. Luka w programach lojalnościowych, która nagradza mądrych.
Podróżny odzyskał mile. Może. Z wysiłkiem.
Większość ludzi nie walczy tak mocno.
Po prostu je tracą.
Czy ufasz linii lotniczej, że chroni Twoje mile? A może zostałeś sam z problemem?
Odpowiedź brzmi oczywiście: nie. Nie bardzo.
Musisz być detektywem. Musisz śledzić każdy lot. Każda kontrola.
Bo oni też patrzą.
Z Pekinu. Albo z innego miejsca. Czekam na nieodebrane powiadomienie. Brak uwagi. Okna możliwości.
Mile tam. Czekają na skrzydłach.
