Im Zentrum des Vorfalls stehen Konten des Programms Chick-fil-A One. Chick-fil-A informierte Betroffene darüber, dass Angreifer fremde Zugangsdaten verwendet haben, die aus Drittquellen stammten. Solche Quellen können laut Bericht frühere Datenschutzverletzungen bei anderen Unternehmen, Phishing-Kampagnen oder von Infostealer-Malware gesammelte Daten sein.

Die Angriffe richteten sich gegen die Chick-fil-A-App und die Website des Unternehmens. Zwischen dem 17. und 19. Juni führten die Täter Credential-Stuffing-Angriffe durch, also Anmeldeversuche mit bereits anderweitig erbeuteten Kombinationen aus Benutzername und Passwort. Am 13. Juli kam Chick-fil-A zu dem Schluss, dass die Angreifer möglicherweise Daten aus erfolgreich kompromittierten Konten erlangt hatten.

Zu den potenziell betroffenen Daten zählen Namen, E-Mail-Adressen, Chick-fil-A-Mitgliedsnummern und Mobile-Pay-Nummern, teilweise sichtbare Zahlungskartennummern sowie Kontoguthaben. In einzelnen Fällen konnten auch Telefonnummern, Postanschriften und Geburtsdaten in den Konten hinterlegt gewesen sein. Der Bericht macht keine Angaben dazu, ob alle diese Datenkategorien in jedem kompromittierten Konto vorhanden waren.

Chick-fil-A hat nach eigenen Angaben mehrere Maßnahmen für betroffene Konten umgesetzt. Die betroffenen Nutzer wurden zwangsweise abgemeldet, die Passwörter zurückgesetzt und in den Konten gespeicherte Zahlungsmethoden entfernt. Bei Konten, deren Guthaben von den Angreifern geleert worden war, stellte das Unternehmen die Guthaben wieder her und fügte zusätzliche Prämien hinzu.

Unklar ist weiterhin, wie viele Personen genau betroffen sind. SecurityWeek berichtet, dass sich auf Basis der bei den Generalstaatsanwälten von Texas und Massachusetts eingereichten Zahlen ableiten lässt, dass es um Tausende oder Zehntausende Betroffene gehen könnte. Das Medium hat Chick-fil-A außerdem um weitere Informationen zur Zahl der Betroffenen gebeten und angekündigt, den Bericht zu aktualisieren, falls das Unternehmen antwortet.

Chick-fil-A betreibt nach den im Bericht genannten Angaben mehr als 3.000 Restaurants und beschäftigt über 200.000 Mitarbeiter. Der Bericht verweist außerdem darauf, dass Credential-Stuffing-Angriffe für Cyberkriminelle sehr lukrativ sein können. Als Beispiel wird ein Angriff auf DraftKings im Jahr 2022 genannt, bei dem drei Hacker Hunderttausende Dollar erbeuteten; sie wurden später identifiziert und zu Gefängnisstrafen verurteilt.