Chick-fil-A informuje zákazníky o úniku dat, který útočníkům umožnil proniknout do věrnostních účtů, ale samotný řetězec rychlého občerstvení nebyl hacknut v tradičním slova smyslu. Místo toho společnost uvádí, že incident pramenil z útoků typu credential stuffing, což je metoda, při níž zločinci používají hesla odcizená z jiných, nesouvisejících úniků, aby se přihlásili k účtům na zcela odlišné platformě. Případ Chick-fil-A je jasnou připomínkou, že k úniku dat v důsledku credential stuffingu může dojít u jakékoli společnosti, bez ohledu na to, jak bezpečné jsou její vlastní systémy, pokud zákazníci používají stejná hesla na více webech.
Co se při úniku u Chick-fil-A stalo
Podle oznámení, které Chick-fil-A zaslalo dotčeným zákazníkům, útočníci získali neoprávněný přístup k řadě zákaznických účtů prostřednictvím vlny pokusů o credential stuffing. Místo zneužití zranitelnosti ve vlastní síti nebo databázi Chick-fil-A použili útočníci kombinace uživatelských jmen a hesel, které již byly odhaleny jinde – pravděpodobně z dřívějších úniků u jiných společností – a testovali je proti přihlašovacímu systému Chick-fil-A. Pokud zákazníci používali stejnou kombinaci e-mailu a hesla na více webech, tyto přihlašovací údaje fungovaly a útočníkům umožnily vstup do účtů věrnostního programu.
To je důležité rozlišení. Chick-fil-A nebylo napadeno ve smyslu infiltrace svých serverů nebo přímého odcizení interních dat. Místo toho se přihlašovací portál společnosti stal terčem automatizovaného útoku, který se zcela spoléhal na vlastní návyky zákazníků ohledně hesel. Řetězec nyní informuje dotčené osoby v rámci svých oznamovacích povinností – krok, který je stále běžnější, protože společnosti napříč odvětvími se potýkají se stejným typem automatizovaných pokusů o převzetí účtů.
Proč credential stuffing funguje, i když společnost není přímo napadená
Útoky typu credential stuffing jsou účinné, protože zneužívají jednoduché, rozšířené lidské chování: používání stejných hesel. Útočníci nemusí prolomit obranu konkrétní společnosti. Jednoduše vezmou obrovské seznamy uniklých uživatelských jmen a hesel, často získaných z úniků, které s cílovou firmou vůbec nesouvisejí, a proženou je automatizovanými nástroji zvanými „boti“, kteří se ve velkém měřítku pokoušejí přihlásit na mnoha různých webech a v aplikacích.
Protože tolik lidí používá stejné heslo pro e-mail, maloobchodní účty, bankovnictví a věrnostní programy, i malé procento úspěšných přihlášení se může proměnit v tisíce kompromitovaných účtů. Společnost může mít silné interní zabezpečení, robustní šifrování a žádné zranitelnosti ve vlastním kódu, a přesto uvidí, jak jsou zákaznické účty uneseny jednoduše proto, že přihlašovací údaje těchto zákazníků byly odhaleny někde úplně jinde.
Tato dynamika činí credential stuffing zásadně odlišným od tradičního úniku dat, kdy jsou přímo napadeny vlastní systémy společnosti. Také je těžší mu zabránit pouze pomocí firemních výdajů na bezpečnost, protože slabé místo často leží mimo vlastní síť společnosti – v opakovaně používaných heslech, která jsou v hlavách zákazníků nebo v jejich správcích hesel. Je to podobná lekce, jakou jsme viděli u rychle se šířících hrozeb, jako je ransomware Spirals, kde rychlost a automatizace dávají útočníkům náskok, s nímž tradiční obrana jen těžko drží krok.
Kroky, které by zákazníci měli nyní podniknout
Pokud máte účet u Chick-fil-A nebo vlastně u jakéhokoli věrnostního programu, je třeba okamžitě podniknout určité kroky. Zaprvé si ihned změňte heslo k dotčenému účtu a ujistěte se, že nové heslo je jedinečné a nepoužíváte ho na žádném jiném webu. Zadruhé zkontrolujte, zda jste stejné heslo nepoužili i jinde, včetně e-mailových, bankovních nebo nákupních účtů, a pokud ano, změňte ho i tam.
Také stojí za to zkontrolovat aktivitu na účtu, zda neobsahuje něco neobvyklého, například neznámé objednávky, změny uložených platebních metod nebo uplatnění věrnostních bodů, které jste neautorizovali. Pokud oznámení od Chick-fil-A obsahovalo konkrétní pokyny nebo termín pro resetování přihlašovacích údajů, jejich rychlé dodržení zkracuje časové okno pro útočníky, kteří stále zkoušejí znovu použitá hesla.
Budování lepších návyků ohledně hesel: správci hesel, jedinečná přihlášení a vícefaktorové ověřování
Incident u Chick-fil-A je užitečným impulzem k prověření vašich širších návyků ohledně hesel, nejen u tohoto jednoho účtu. Správce hesel umožňuje realisticky generovat a ukládat jedinečné, složité heslo pro každý váš účet, čímž odstraňuje pokušení používat z pohodlnosti jedno známé heslo. V kombinaci s vícefaktorovým ověřováním (MFA) všude, kde je dostupné, dokonce i u věrnostních a maloobchodních účtů, to vytváří smysluplnou bariéru proti credential stuffingu, protože samotné odcizené heslo útočníkovi ke vstupu stačit nebude.
Mnoho lidí podceňuje, jak cenné mohou věrnostní účty pro útočníky být. Věrnostní body, uložené platební údaje a osobní informace – to vše má hodnotu pro další prodej nebo může být použito k dalším podvodům. Přistupovat k těmto účtům se stejnou vážností jako k bankovnímu přihlášení je chytrý posun v myšlení.
Co to znamená pro vás
Únik u Chick-fil-A vlastně není příběhem o selhání bezpečnosti Chick-fil-A. Je to příběh o tom, jak propojené se naše online identity staly a jak se únik u jedné společnosti může přenést a ovlivnit účty všude jinde, pokud se hesla opakovaně používají. Dokonce i dobře zabezpečené společnosti se mohou stát terčem credential stuffingu na svých přihlašovacích systémech, protože zranitelnost spočívá spíše v chování zákazníků než ve firemní infrastruktuře. Každý, kdo má účet u Chick-fil-A, nebo upřímně řečeno jakýkoli online účet, by to měl brát jako popostrčení k revizi svých heslových návyků napříč všemi službami, nejen u té jedné, o které se píše v titulcích.
Praktické kroky k realizaci:
- Okamžitě si resetujte heslo k účtu Chick-fil-A a použijte jedinečné heslo, které nepoužíváte na žádném jiném webu.
- Zkontrolujte ostatní účty, zda nepoužívají stejná hesla, a aktualizujte je, počínaje e-mailem, bankovnictvím a všemi účty, které uchovávají platební informace.
- Povolte vícefaktorové ověřování všude, kde je dostupné, zejména u věrnostních a maloobchodních účtů, které ukládají platební údaje.
- Zvažte použití správce hesel pro generování a ukládání jedinečných přihlašovacích údajů pro každý používaný účet.
- Sledujte aktivitu na svém účtu Chick-fil-A, zda nevykazuje neznámé objednávky nebo uplatnění odměn, a vše podezřelé nahlaste zákaznické podpoře.
Útoky credential stuffing se budou i nadále zaměřovat na populární spotřebitelské platformy, protože základní slabina – opakované používání hesel – je velmi rozšířená. Věnujte nyní pár minut posílení svých přihlašovacích návyků, může vám to později ušetřit mnohem větší starosti.
