Chick-fil-A beschreibt sich selbst als drittgrößtes Schnellrestaurantunternehmen in den USA. Die Kette betreibt nach eigenen Angaben mehr als 3.000 Restaurants und bietet Catering in den USA, Kanada, Puerto Rico, dem Vereinigten Königreich und Singapur an.
Aus den an Betroffene verschickten Datenschutzhinweisen geht hervor, welche Daten bei dem Vorfall offengelegt worden sein könnten. Genannt werden Kombinationen aus Namen, E-Mail-Adressen, Chick-fil-A-One-Mitgliedsnummern und Mobile-Pay-Nummern, QR-Codes, dem Guthaben an Chick-fil-A-Guthaben sowie den letzten vier Ziffern der Kredit- oder Debitkartennummer. Außerdem könnten Angreifer auf Geburtsdaten, Telefonnummern und Anschriften zugegriffen haben, sofern diese in den kompromittierten Konten gespeichert waren.
Zur Gesamtzahl der kompromittierten Konten macht Chick-fil-A keine Angaben. Bekannt ist bislang nur, dass das Unternehmen dem Generalstaatsanwalt von Texas 2182 betroffene Texaner meldete. Benachrichtigungsschreiben gingen zudem an Einwohner von Iowa, dem District of Columbia, Maryland, Massachusetts, New Mexico, New York, North Carolina, Oregon, Vermont und Rhode Island.
Als Reaktion auf den Vorfall meldete Chick-fil-A alle betroffenen Konten ab, entfernte hinterlegte Zahlungsmethoden und stellte die Guthaben der Chick-fil-A-One-Konten wieder her. Zusätzlich fügte das Unternehmen den betroffenen Konten Prämien hinzu, die als Entschuldigung gedacht sind. Weil die Konten mit gestohlenen Zugangsdaten kompromittiert wurden, riet die Restaurantkette den Betroffenen außerdem, ihre Passwörter so schnell wie möglich zu ändern.
Credential Stuffing bezeichnet Angriffe, bei denen automatisierte Werkzeuge gestohlene Kombinationen aus Benutzername und Passwort gegen Nutzerkonten testen. Laut dem Quelltext ist diese Methode besonders wirksam, wenn Zugangsdaten plattformübergreifend wiederverwendet werden. Chick-fil-A hatte bereits im März 2023 bestätigt, dass Angreifer bei einer ähnlichen Welle solcher Angriffe zwischen Dezember 2022 und Februar 2023 auf personenbezogene Daten zugriffen und die gespeicherten Prämienguthaben von mehr als 71.000 Kunden nutzten, nachdem sie deren Konten übernommen hatten.
Gegenüber BleepingComputer stand ein Sprecher von Chick-fil-A am Dienstag zunächst nicht für eine Stellungnahme dazu zur Verfügung, wie viele Kundenkonten bei den aktuellen Angriffen kompromittiert wurden.