Sadakat programı istismarı, biriktirilen puanların, mil ve ödüllerin sahibinin izni dışında ele geçirilip nakde veya değerli ürüne çevrilmesidir. Saldırganların gözünde bu puanlar aslında bir tür alternatif para birimidir; üstelik çoğu program, banka hesabı kadar sıkı korunmadığı için düşük riskli, yüksek getirili bir hedef sunar.

Sadakat puanı, sahibi için bir ödül, saldırgan için ise zayıf korunan bir dijital cüzdandır.

Saldırı Nasıl Başlar?

En yaygın giriş yolu, kullanıcının parolasını ele geçirmektir. Saldırgan bunu ya sahte bir e-postayla, yani Kimlik avı yoluyla ya da başka sitelerden sızmış parola listelerini deneyerek elde eder. Sadakat hesaplarının çoğunun ikincil bir e-posta veya seyrek giriş nedeniyle unutulmuş olması, ele geçirmenin fark edilmeden sürmesini kolaylaştırır. Hesaba giren saldırgan, puanları hediye kartına dönüştürüp hızla dışarı taşır.

Program Mantığının Kötüye Kullanımı

Her istismar hesap çalmayı gerektirmez; bazen programın kuralları doğrudan suistimal edilir. Aynı kişinin sahte hesaplarla üye getirme bonusunu tekrar tekrar toplaması ya da iade edilen bir siparişin puanlarının geri alınmaması gibi mantık boşlukları, Kupon ve promosyon istismarı ile aynı kökten beslenir. Bu tür kayıplar tek tek küçük görünse de, otomasyonla ölçeklendiğinde bütçede ciddi bir açık yaratır.

Tespit ve Savunma

Etkili savunma, hem hesaba erişimi hem de puan hareketini izlemeyi birlikte ele alır. Kimlik tarafında en güçlü tekil önlem, ikinci bir doğrulama katmanı ekleyen Çok faktörlü kimlik doğrulama olup, çalınmış bir parolayı tek başına yetersiz bırakır. Davranış tarafında ise şu göstergeler yakından izlenir:

• Uzun süre hareketsiz bir hesapta ani ve büyük puan harcaması
• Kısa sürede çok sayıda hesaptan aynı adrese yapılan ödül talepleri
• Alışılmadık coğrafyadan gelen giriş ve ardından hemen yapılan bozdurma
• Üyelik e-postasının ödül talebinden hemen önce değiştirilmesi

Kurumsal Bakış

Sadakat programı bir kurumun müşterisiyle kurduğu güven ilişkisinin görünen yüzüdür; puanların kolayca çalınması bu güveni doğrudan zedeler ve mali kaybın ötesinde marka itibarını yıpratır. Hesap ele geçirme desenlerini gerçek zamanlı yakalayacak izleme ve tepki yeteneğini olgunlaştırmak isteyen ekipler, SOC olgunlaştırma hizmetimiz ile bu tür dolandırıcılık senaryolarına özel algılama kuralları kurabilir.