Cybercrime in crescita: il furto di miglia frequent flyer è la nuova minaccia
Credential stuffing, phishing e account takeover contro i programmi fedeltà: il caso Points.com, il mercato nero delle miglia, le perdite delle compagnie aeree e il quadro italiano tra Volare e Legge 90/2024.
Il furto di miglia frequent flyer è diventato un business criminale da 3 miliardi di dollari annui, con cybercriminali che sfruttano vulnerabilità nei programmi fedeltà delle compagnie aeree per rubare e rivendere punti a prezzi scontati. Questo fenomeno in rapida crescita colpisce oltre 75 compagnie aeree a livello globale, con un aumento del 30% dei casi nel 2022 e perdite che superano il miliardo di dollari solo per le compagnie statunitensi.
L’evoluzione del cybercrime nell’aviazione ha raggiunto nuovi livelli
La sicurezza informatica aviazione si trova ad affrontare una sfida senza precedenti. Gli attacchi informatici alle compagnie aeree sono aumentati del 65% in Italia nel 2023, secondo il rapporto CLUSIT, con i programmi fedeltà che rappresentano un obiettivo sempre più appetibile per i criminali informatici. Il valore stimato delle miglia aeree detenute dai consumatori statunitensi varia tra 48 e 120 miliardi di dollari, creando un mercato parallelo illegale estremamente redditizio.
L’hacking miglia aeree sfrutta principalmente tre metodologie: credential stuffing con attacchi automatizzati che testano combinazioni di username e password rubate, phishing sofisticato che imita le comunicazioni ufficiali delle compagnie aeree, e account takeover che permette ai criminali di accedere rapidamente ai conti per riscattare o trasferire punti prima che le vittime se ne accorgano. La rapidità è cruciale: i criminali riescono a “prenotare viaggi, effettuare quei viaggi e svuotare i conti prima che il consumatore se ne renda conto”.
Le vulnerabilità sistemiche nei programmi fedeltà
La ricerca condotta dal security researcher Sam Curry ha rivelato vulnerabilità critiche in Points.com, l’infrastruttura backend che gestisce le transazioni per i principali programmi fedeltà inclusi Delta SkyMiles, United MileagePlus, Hilton Honors e Marriott Bonvoy. Queste vulnerabilità permettevano l’accesso a 22 milioni di record di ordini clienti, trasferimenti non autorizzati di punti utilizzando solo cognome e numero del programma fedeltà, e accesso amministrativo completo ai sistemi globali di Points.com.
I cybercrime compagnie aeree sfruttano anche debolezze nell’autenticazione multi-fattore, politiche password inadeguate, gestione sessioni carente e vulnerabilità nei sistemi di integrazione con partner. L’82% delle compagnie aeree offre programmi fedeltà, ma il 60% ha riportato incidenti di frode, evidenziando la pervasività del problema.
Il mercato nero delle miglia rubate
Le miglia rubate vengono vendute sui dark web marketplace a prezzi fortemente scontati: 100.000 miglia del valore di 1.500 dollari vengono vendute per circa 1.500 dollari in Bitcoin, mentre le miglia Delta SkyMiles e British Airways sono tra le più preziose e frequentemente scambiate. I criminali utilizzano “agenzie di viaggio ombra” sofisticate con sistemi di prenotazione personalizzati, richiedendo screenshot dei viaggi previsti per prenotazioni fraudolente personalizzate.
Il processo di monetizzazione avviene attraverso prenotazioni dirette di voli e hotel per la rivendita, conversione in gift card delle compagnie aeree vendibili sui mercati secondari, schemi di trasferimento per oscurare le tracce del furto, e prenotazioni last-minute per evitare il rilevamento prima del completamento del viaggio.
L’impatto devastante su compagnie aeree e passeggeri
Le compagnie aeree perdono tra 1 e 3 miliardi di dollari annui a causa delle frodi programmi fedeltà. La Loyalty Fraud Prevention Association stima che l’1% delle miglia riscattate sia fraudolento, rappresentando un problema globale da 3,1 miliardi di dollari. Con 23,8 trilioni di miglia non riscattate in circolazione, circa 238 miliardi di dollari sono a rischio secondo le stime dell’Economist.
Per i passeggeri, l’impatto include blocchi degli account durante le indagini antifrode, perdita di punti accumulati spesso non notata per mesi, interruzioni di viaggio per l’impossibilità di riscattare i premi, e perdite finanziarie che possono raggiungere migliaia di dollari. Il 37,1% delle compagnie sperimenta perdita di fedeltà dei clienti a causa delle frodi.
Le contromisure e le migliori pratiche di sicurezza
Le protezione dati frequent flyer richiede implementazione di autenticazione multi-fattore, sistemi di monitoraggio in tempo reale potenziati dall’intelligenza artificiale, analisi comportamentale per identificare attività anomale, e prevenzione del credential stuffing attraverso algoritmi avanzati. Sarah Rajkumar di Etihad Aviation Group, Vice-Chair dell’IATA FFP Fraud Prevention Standards Governance Group, sottolinea: “Le miglia sono denaro, il che le rende così attraenti per i truffatori. Le compagnie aeree non hanno ancora realizzato i benefici dell’investimento in sistemi robusti di prevenzione delle frodi.”
Le tecnologie emergenti includono verifica biometrica, autenticazione del dispositivo che traccia comportamento e posizione, orchestrazione dell’identità che integra più strumenti di verifica, e sistemi predittivi che identificano potenziali frodi prima che si verifichino.
La situazione italiana e il quadro normativo
In Italia, la transizione da Alitalia a ITA Airways ha creato vulnerabilità nel programma ITA Airways Volare protezione. La Commissione Europea ha vietato ad ITA Airways di acquisire il programma fedeltà MilleMiglia di Alitalia (con 6 milioni di membri), creando periodi di vulnerabilità per i dati e gli account dei clienti. Il nuovo programma Volare ha raggiunto 1 milione di membri nel 2022, ma le sfide di integrazione con l’alleanza SkyTeam hanno creato lacune nei protocolli di sicurezza.
La Legge italiana n. 90/2024 ha rafforzato significativamente il quadro di cybersicurezza compagnie aeree con pene criminali aumentate per i cybercrimes, nuove circostanze aggravanti per crimini che coinvolgono sistemi AI, e responsabilità aziendale estesa attraverso il Decreto Legislativo n. 231/2001. Le aziende affrontano multe da 200-700 unità (€51.600-€1.084.300) per attacchi hacking/DoS.
La Guardia di Finanza italiana gestisce i crimini informatici finanziari attraverso il Gruppo Anticrimine Tecnologico (GAT), con 68.000 personale a livello nazionale e cooperazione transfrontaliera attraverso Europol e OLAF. L’Autorità Nazionale Cybersicurezza (ACN), istituita nel giugno 2021, fornisce framework di certificazione e protezione del perimetro nazionale per infrastrutture critiche inclusi aeroporti e compagnie aeree.
Tendenze emergenti e minacce future
Il 2024-2025 ha visto un’escalation nella sicurezza programmi fedeltà con attacchi potenziati dall’AI che mostrano un aumento del 118% nelle tattiche generate dall’intelligenza artificiale, inclusi deepfakes e clonazione vocale. I Computer-Using Agents stanno abilitando automazione a basso costo di attività web, mentre i criminali prendono di mira sempre più account inattivi – il 45% degli account dei programmi fedeltà sono inattivi o utilizzati di rado.
Gli attacchi alla supply chain si concentrano su fornitori terzi come Points.com piuttosto che su singole compagnie aeree, con impatti che colpiscono simultaneamente più programmi fedeltà. Le minacce insider sono in crescita, con l’83% delle aziende che ha riportato attacchi insider nel 2024.
Prevenzione e raccomandazioni per i viaggiatori italiani
Per proteggere le proprie miglia, i viaggiatori devono implementare password uniche per gli account fedeltà, abilitare l’autenticazione a due fattori dove disponibile, monitorare regolarmente l’attività dell’account, e segnalare immediatamente attività sospette. Le truffe programmi fedeltà spesso sfruttano la scarsa consapevolezza degli utenti: il 65% dei membri dei programmi fedeltà usa la stessa password su più account.
Le compagnie aeree devono investire in sistemi di rilevamento frodi avanzati, migliorare la collaborazione industriale, implementare programmi di educazione dei clienti, e garantire conformità con le normative europee come NIS2 e GDPR. L’industria dell’aviazione ha speso 7,4 miliardi di dollari in tecnologia recentemente, con il mercato della cybersicurezza aviazione che dovrebbe crescere da 4,6 miliardi di dollari (2023) a 8,42 miliardi di dollari (2033).
Il futuro della sicurezza nei programmi fedeltà
La violazione account airline continuerà a rappresentare una minaccia significativa richiedendo adattamento continuo. Il successo dipende dal bilanciamento tra sicurezza ed esperienza del cliente, sfruttamento di tecnologie emergenti come l’AI, e mantenimento della collaborazione a livello industriale. Le compagnie aeree che investono proattivamente in prevenzione delle frodi complete proteggeranno sia i loro interessi finanziari che la fiducia dei clienti, posizionandosi per una crescita sostenibile in un ecosistema di viaggio sempre più digitale.
L’approccio italiano combina framework legali forti con capacità specializzate di law enforcement, ma il successo dipende dall’investimento continuo in capacità di cybersicurezza e cooperazione internazionale attraverso framework UE come ENISA e operazioni Europol. Con le perdite che raggiungono miliardi di dollari annui e l’evoluzione costante delle minacce, la protezione dei programmi fedeltà richiede un approccio olistico che combini tecnologia avanzata, cooperazione industriale e vigilanza continua.
Fonti:
Infosecurity Magazine – Airlines Battle Surge in Loyalty Program Fraud.
Dark Reading – Credential-Stuffing Attacks Plague Loyalty Programs.
Mighty Travels – Airline Miles Scams Surge How to Protect Your Loyalty Points in 2024.
IBM X-Force – Why Fraudsters Are Flying High on Airline Loyalty Programs.
SecurityWeek – Points.com Vulnerabilities Allowed Customer Data Theft, Rewards Program Hacking.
Comparitech – How much are stolen frequent flyer miles worth on the dark web?
Cyware – Dark Web hackers now selling frequent flyer miles from popular airlines.
Airlines Reporting Corporation – Miles and Points: The New Currency of Travel Fraud.
Mastercard Services – Fighting loyalty fraud: Essential strategies for the travel industry.
IATA Airlines – Fraud prevention: Strengthening the defences.
Cobalt – Top Cybersecurity Statistics for 2025.
Trustpair – Ninety Percent of U.S. Companies Experienced Cyber Fraud in 2024.
AAG IT Support – The Latest Cyber Crime Statistics (updated June 2025).
Airways Magazine – Analysis: Commercial Aviation Cybersecurity Threats in 2025.
Secureworks – Boardroom Cybersecurity Report 2024.
Domande frequenti
Come rubano le miglia frequent flyer i cybercriminali?
Con credential stuffing automatizzato, usando username e password rubate, con phishing che imita le compagnie e con account takeover per riscattare o trasferire i punti prima che le vittime se ne accorgano.
Come monetizzano le miglia rubate?
Con prenotazioni dirette di voli e hotel da rivendere, conversione in gift card vendibili sui mercati secondari, schemi di trasferimento per oscurare le tracce e prenotazioni last-minute per evitare il rilevamento.
Quali contromisure adottano le compagnie aeree contro le frodi sui programmi fedeltà?
Autenticazione multi-fattore, monitoraggio in tempo reale con intelligenza artificiale, analisi comportamentale per individuare attività anomale e prevenzione del credential stuffing. Tra le tecnologie emergenti ci sono verifica biometrica e autenticazione del dispositivo.
Quali danni subiscono i passeggeri vittime del furto di miglia?
Blocchi degli account durante le indagini antifrode, perdita dei punti spesso non notata per mesi, impossibilità di riscattare i premi e perdite finanziarie che possono arrivare a migliaia di dollari.
