保护忠诚度积分计划免受欺诈：5项关键建议

F5生态系统 | 2022年7月15日

许多人终于开始规划期待已久的假日旅行和度假，这或许是疫情暴发以来第一次真正放松出游的机会。您可能打算兑换忠诚度计划中长期闲置的航空里程或酒店积分。但如果发现忠诚度账户遭到网络犯罪分子欺诈或入侵，积分已被盗走，想必会十分震惊。

忠诚度积分计划由来已久，是吸引和留住客户的有效工具，但目前，针对这些计划并入侵账户的犯罪活动正在激增。原因何在？大量忠诚度积分尚未使用：据Loyalty Security Association称，仅在美国，就有45%的账户被视为不活跃账户。这意味着会员账户中约有价值48万亿美元的积分尚未使用，其中大多无人监控，甚至可能已被遗忘。这对网络犯罪分子极具诱惑力，因为他们很容易盗取这些被忽视的积分，并将其变现以谋取私利。

犯罪分子为何以忠诚度计划为目标

对网络犯罪分子而言，攻破忠诚度积分账户轻而易举。尽管这些账户中的积分价值可能高达数千美元，但大多数消费者并不会像关注银行或金融机构的金融账户那样密切关注它们。许多账户仅使用简单的用户名和密码组合进行保护，而不少消费者会重复使用密码，因此，犯罪分子利用窃取的凭据，通过自动化机器人攻击对忠诚度账户实施凭据填充相对容易。一旦控制积分，犯罪分子便可将其兑现、兑换成礼品卡等难以追踪的物品，或在暗网上出售积分牟利，而欺诈者面临的风险很低。此外，犯罪分子深知，攻破忠诚度账户不仅能带来短期经济收益，还能获取数据和情报，用于进一步实施欺诈活动，包括利用个人身份信息、行程和住宿数据、购物模式等进行身份盗用。

事实上，需要防范的不只是网络犯罪分子。以下是需要警惕的三类忠诚度计划欺诈：

重复套取：这是指真实会员通过“重复套取”欺诈忠诚度计划，例如同时通过电话和在线渠道兑换积分。会员也可能将自己的忠诚度账户号码关联到并非由本人完成的购买交易，从而以欺诈方式累积积分。会员还可能通过购物获取大量奖励积分，先将积分兑换为现金奖励，再取消交易。此外，真实消费者和忠诚度计划会员也可能利用计划漏洞，滥用政策或业务逻辑。例如，共享优惠券或促销代码、违反商家政策，或申请多张关联同一奖励计划的信用卡，以不正当方式获取奖励。
内部人员作案：这是指欺诈行为涉及组织内部人员或员工。他们可能通过将未使用或无人认领的积分分配给其他会员账户，或在账户之间违规转移积分等方式操纵忠诚度计划。
网络犯罪分子：网络犯罪是忠诚度计划欺诈的主要来源，其中最常见的利用手段是借助撞库、表单劫持或简单的网络钓鱼等自动化工具实施账户接管（ATO），从而获取累积的积分和存储的信用卡信息。撞库是指恶意行为者使用大量已泄露的凭据（例如从其他网站泄露的用户名和密码），尝试登录另一个网站。由于人们经常在多个账户中重复使用密码，这些手段在破解忠诚度账户方面可能非常奏效。攻击者随后可通过更改用户名和密码来接管账户。表单劫持则为黑客接管账户提供了其他途径，即劫持忠诚度计划的网页表单，在消费者填写个人信息时收集并传输这些数据。这样一来，攻击者便掌握了账户的控制权，可以随意盗取积分，或将账户用于其他恶意目的。

防御并保护忠诚度积分计划

保护客户和忠诚度积分计划免受欺诈活动侵害至关重要。如果处理不当，欺诈活动可能会严重损害消费者信任和品牌声誉。

然而，传统网络防御措施已不足以阻止针对忠诚度计划的复杂攻击。过时的防护措施，以及与会话超时时间过短、地理位置封锁、多重身份验证和强制会员完成CAPTCHA验证相关的不必要限制性策略，不仅会让用户感到不便，也很容易被绕过。

攻击者只需花费几美元，就能利用低成本的CAPTCHA破解服务绕过基本的机器人防御，还能购买针对特定地理区域、准确度更高的凭据列表。当防御方试图阻止犯罪组织的活动时，这些组织可以迅速改变策略和手段。如果没有专用工具和专业安全团队，想要始终领先于攻击者几乎是不可能的。

防范忠诚度计划欺诈的5项实用做法

忠诚度计划可奖励企业的高价值客户，并帮助企业与客户建立更紧密的关系。随着攻击日益增多，保护这些计划及其中的客户奖励比以往任何时候都更加重要。以下5项实践有助于重点应对最常见的攻击场景，同时避免给查看或兑换积分的合法会员带来不必要的负担。

防范新账户欺诈。新账户欺诈是指欺诈者使用被盗、合成或其他虚假身份创建忠诚度计划账户，通常会大规模创建。犯罪分子可利用这些欺诈账户积累和转售积分，并滥用积分兑换计划。请确保网络防御解决方案能够检测攻击者是否试图使用自动化工具或复杂的人工手段创建多个虚假账户。
缓解账户接管攻击。确保防御措施能够检测犯罪分子为窃取积分或利用已保存的客户个人数据而发起的账户接管尝试。防御措施必须能够适应攻击模式的变化，并实时调整。监控忠诚度计划流量，利用遥测信号了解输入模式并检测异常行为，从而判断流量来自恶意机器人还是人类。
保护奖励积分兑现交易。通过准确判断每笔交易的可信度及其关联的客户身份，确保忠诚度奖励兑换和账户关联信用卡付款均为合法交易。使用人工智能和机器学习工具监控交易行为，并采用自适应身份验证，根据登录尝试带来的风险选择适当的身份验证流程，从而保护忠诚度计划。例如，更改密码或兑现大量积分等高风险活动可能需要更严格的安全验证。
监控政策滥用行为。在每个交互环节评估可信度，并采取防范措施，减少因优惠券、促销活动、折扣或推荐奖励遭到利用或操纵而造成的经济损失。
了解内部威胁。忠诚度计划也容易受到内部人员的威胁。务必跟踪和衡量网站工作人员的活动，以监控异常情况，并限制员工访问忠诚度计划数据。

帮助客户防范忠诚度积分欺诈

除了保护忠诚度计划及其资产外，还可分享以下提示，帮助计划会员防范积分和奖励欺诈：

会员应像监控其他金融账户一样关注自己的忠诚度计划账户。忠诚度计划账户中可能包含价值数千美元的积分和奖励，因此应提醒客户定期检查账户，确保账户未被篡改。
充分利用增强型安全选项。如果提供多重身份验证等额外安全功能，应鼓励会员使用。每增加一层安全防护，欺诈者入侵账户的难度就会提高。
谨慎对待旅游促销电子邮件和社交媒体帖子。向客户说明您会通过哪些方式和渠道发布促销信息。确保他们了解，看似好得令人难以置信的旅游优惠很可能并不可信。主动发送的电子邮件优惠，以及信息流中突然出现的促销信息，很可能是旨在窃取个人数据的网络钓鱼企图，包括登录凭据和信用卡号。在回复或提供任何信息之前，会员应确认发件人的电子邮件地址是否合法，或直接联系忠诚度计划（不要通过收到的电子邮件或社交媒体帖子联系），以确认优惠或请求是否真实。