Chick-fil-A hat einen Datensicherheitsvorfall offengelegt, bei dem Angreifer in einer Serie von Credential-Stuffing-Attacken auf Konten des Treueprogramms Chick-fil-A One zugegriffen haben. Aus den an mehrere Generalstaatsanwaltschaften übermittelten Benachrichtigungen geht laut BleepingComputer hervor, dass die Angriffe die Website und die mobile App des Unternehmens betrafen.
Auslöser der Untersuchung waren nach Unternehmensangaben verdächtige Anmeldeaktivitäten bei bestimmten Chick-fil-A-One-Konten. Chick-fil-A erklärte gegenüber BleepingComputer, man habe „kürzlich einen Sicherheitsvorfall festgestellt, der möglicherweise eine begrenzte Zahl von Chick-fil-A-One-Treuekonten betroffen hat“. Nach Entdeckung des Problems habe das Unternehmen Maßnahmen ergriffen, um die Konten „sofort zu bearbeiten, zu sichern und wiederherzustellen“, und kontaktiere alle möglicherweise betroffenen Kunden direkt.
Nach Darstellung von Chick-fil-A verwendeten die Täter automatisierte Tools und Zugangsdaten, die aus einer Drittquelle stammten. Auf diese Weise verschafften sie sich Zugriff auf Kundenkonten und entwendeten dort gespeicherte Informationen. Während der Angriffe wurden eine Kombination aus Namen, E-Mail-Adressen, Chick-fil-A-One-Mitgliedsnummern, dem vorhandenen Chick-fil-A-Guthaben, den Nummern für mobiles Bezahlen sowie den letzten vier Ziffern von Kredit- oder Debitkartennummern eingesehen. Wenn diese in den kompromittierten Konten hinterlegt waren, könnten zudem Geburtsdaten, Telefonnummern und Anschriften betroffen gewesen sein.
Wie viele Personen insgesamt betroffen sind, hatte das Unternehmen zunächst nicht öffentlich beziffert. Laut einer Einreichung, die das Büro des Generalstaatsanwalts von Maine mit BleepingComputer geteilt hat, beläuft sich die Zahl jedoch auf 13.322 Betroffene. In gesonderten Meldungen teilte Chick-fil-A dem Büro des Generalstaatsanwalts von Texas mit, dass 2.182 Einwohner von Texas betroffen seien; gegenüber der Generalstaatsanwaltschaft von Massachusetts nannte das Unternehmen 39 Betroffene. Benachrichtigungsschreiben gingen zudem an Einwohner des District of Columbia sowie von Iowa, Maryland, New Mexico, New York, North Carolina, Oregon, Vermont und Rhode Island.
Als Reaktion auf den Vorfall hat Chick-fil-A nach eigenen Angaben alle betroffenen Konten abgemeldet, hinterlegte Zahlungsmethoden entfernt und sämtliche Kontostände der betroffenen Chick-fil-A-One-Konten wiederhergestellt. Zusätzlich seien den betroffenen Konten als Entschuldigung Prämien gutgeschrieben worden. Weil die kompromittierten Konten mit Zugangsdaten aus anderen Diensten angegriffen wurden, riet das Unternehmen den Betroffenen außerdem, ihre Passwörter so schnell wie möglich zu ändern.
Es ist nicht der erste Vorfall dieser Art bei der Restaurantkette. Bereits im März 2023 hatte Chick-fil-A offengelegt, dass Hacker nach einer weiteren Serie von Credential-Stuffing-Angriffen zwischen Dezember 2022 und Februar 2023 die personenbezogenen Daten von mehr als 71.000 Kunden gestohlen hatten.
Chick-fil-A betreibt nach eigenen Angaben mehr als 3.000 Restaurants in den USA, Kanada, Puerto Rico, dem Vereinigten Königreich und Singapur.