La catena Chick-fil-A di fast food sta notificando un numero non dichiarato di clienti che i loro account online sono stati acceduti durante una serie di attacchi di credential stuffing che hanno preso di mira il sito web e l’applicazione mobile dell’azienda. L’azienda ha affermato che gli attaccanti hanno utilizzato combinazioni di indirizzi email e password ottenute da fonti esterne invece di sfruttare una vulnerabilità nei Chick-fil-A propri sistemi.
Secondo Chick-fil-A , gli attacchi automatizzati sono avvenuti tra il 17 e il 19 giugno 2026. A seguito di un’indagine interna, l’azienda ha stabilito il 13 luglio che individui non autorizzati potrebbero aver avuto accesso a determinati Chick-fil-A conti fedeltà One. Gli attacchi di credential stuffing si basano su nomi utente e password precedentemente esposti in violazioni dati non correlate, permettendo agli aggressori di compromettere gli account quando le persone riutilizzano le stesse credenziali di accesso su più servizi online.
L’azienda ha affermato che le informazioni accessibili agli attaccanti dipendevano da ciò che ogni cliente aveva memorizzato nel proprio account. I dati potenzialmente esposti includono nomi, indirizzi email, indirizzi fisici, numeri di telefono, date di nascita, Chick-fil-A numeri di iscrizione One, codici QR associati agli account clienti, saldi delle ricompense memorizzati e le ultime quattro cifre delle carte di pagamento salvate. Gli identificatori di pagamento mobile e altri dettagli dell’account potrebbero essere stati visibili anche agli utenti non autorizzati. Chick-fil-A Tali numeri completi di carta di pagamento non erano memorizzati negli account interessati.
Come parte della sua risposta, Chick-fil-A ha reimpostato le password degli account interessati, effettuato l’uscita degli utenti interessati dalle sessioni esistenti, rimosso i metodi di pagamento salvati quando appropriato e ripristinato eventuali premi fedeltà riscattati fraudolentamente. L’azienda ha inoltre dichiarato di aver accreditato i clienti interessati con punti premio aggiuntivi come gesto di buona volontà, continuando a esaminare l’incidente.
La catena di ristoranti ha sottolineato che l’intrusione non è stata causata da una violazione della propria infrastruttura interna. Invece, gli aggressori si sono affidati a credenziali rubate durante incidenti non correlati che coinvolgevano altri servizi online. Poiché il credential stuffing dipende dal riutilizzo delle password, le organizzazioni spesso incoraggiano i clienti a creare password uniche per ogni account online e a abilitare l’autenticazione multi-fattore ogni volta che è disponibile.
Non è la prima volta Chick-fil-A che si affrontano attacchi di credential stuffing. Nel 2023, l’azienda ha rivelato che più di 71.000 account clienti erano stati compromessi durante una campagna automatizzata durata mesi che si è basata analogamente su nomi utente e password riutilizzati ottenuti da violazioni dati di terze parti.
Chick-fil-A non ha rivelato quanti clienti siano stati colpiti dall’ultimo incidente. L’azienda ha dichiarato di continuare a indagare sugli attacchi e di contattare individui i cui account potrebbero essere stati accessi. Si consiglia inoltre ai clienti di cambiare le password utilizzate su altri servizi online se sono state riutilizzate per il proprio Chick-fil-A account e di monitorare i propri account per eventuali attività non autorizzate.