Die Fast-Food-Kette Chick-fil-A informiert eine nicht genannte Anzahl von Kunden, dass ihre Online-Konten während einer Reihe von Credential-Stuffing-Angriffen auf die Website und die mobile Anwendung des Unternehmens abgerufen wurden. Das Unternehmen erklärte, die Angreifer hätten E-Mail-Adressen- und Passwortkombinationen von externen Quellen verwendet, anstatt eine Schwachstelle in Chick-fil-A den eigenen Systemen auszunutzen.
Laut Chick-fil-A , fanden die automatisierten Angriffe zwischen dem 17. und 19. Juni 2026 statt. Nach einer internen Untersuchung stellte das Unternehmen am 13. Juli fest, dass unbefugte Personen Zugang zu bestimmten Chick-fil-A One-Loyalitätskonten erhalten haben könnten. Credential-Stuffing-Angriffe basieren auf Benutzernamen und Passwörtern, die zuvor bei nicht zusammenhängenden Datenpannen offengelegt wurden, sodass Angreifer Konten kompromittieren können, wenn Nutzer dieselben Zugangsdaten in mehreren Online-Diensten wiederverwenden.
Das Unternehmen erklärte, dass die für Angreifer zugänglichen Informationen davon abhingen, was jeder Kunde in seinem Konto gespeichert hatte. Potenziell offengelegte Daten umfassen Namen, E-Mail-Adressen, physische Adressen, Telefonnummern, Geburtsdaten, Chick-fil-A One-Mitgliedschaftsnummern, QR-Codes, die mit Kundenkonten verknüpft sind, gespeicherte Prämiensalden und die letzten vier Ziffern gespeicherter Zahlungskarten. Mobile Zahlungskennungen und andere Kontodaten könnten ebenfalls für unbefugte Nutzer sichtbar gewesen sein. Chick-fil-A Diese vollständigen Zahlungskartennummern wurden nicht in den betroffenen Konten gespeichert.
Im Rahmen ihrer Reaktion wurden Chick-fil-A Passwörter für betroffene Konten zurückgesetzt, betroffene Nutzer aus bestehenden Sitzungen ausgeschlossen, gespeicherte Zahlungsmethoden gegebenenfalls entfernt und alle betrügerisch eingelösten Treuebelohnungen wiederhergestellt. Das Unternehmen gab außerdem an, betroffenen Kunden zusätzliche Belohnungspunkte als Goodwill-Geste gutzuschreiben, während der Vorfall weiterhin überprüft wird.
Die Restaurantkette betonte, dass der Einbruch nicht auf eine Verletzung ihrer internen Infrastruktur zurückzuführen sei. Stattdessen verließen sich die Angreifer auf Zugangsdaten, die bei nicht zusammenhängenden Vorfällen mit anderen Online-Diensten gestohlen wurden. Da Credential Stuffing auf der Wiederverwendung von Passwörtern basiert, ermutigen Organisationen Kunden häufig, für jedes Online-Konto einzigartige Passwörter zu erstellen und Mehrfaktor-Authentifizierung zu aktivieren, wann immer diese verfügbar ist.
Das ist nicht das erste Mal, dass Chick-fil-A ich es mit Credential-Stuffing-Angriffen zu tun habe. Im Jahr 2023 gab das Unternehmen bekannt, dass mehr als 71.000 Kundenkonten während einer monatelangen automatisierten Kampagne kompromittiert wurden, die ebenfalls auf wiederverwendeten Benutzernamen und Passwörtern basierte, die durch Datenpannen Dritter gewonnen wurden.
Chick-fil-A hat nicht bekannt gegeben, wie viele Kunden von dem jüngsten Vorfall betroffen waren. Das Unternehmen erklärte, dass es die Angriffe weiterhin untersucht und Kontakt zu Personen aufnimmt, deren Konten möglicherweise betreten wurden. Kunden wird außerdem geraten, Passwörter anderer Online-Dienste zu ändern, falls diese für ihr Chick-fil-A Konto wiederverwendet wurden, und deren Konten auf unbefugte Aktivitäten zu überwachen.