Chick-fil-A informiert Kunden über einen Datenvorfall, bei dem Angreifer in Treuekonten eindringen konnten, aber die Fast-Food-Kette selbst wurde nicht auf herkömmliche Weise gehackt. Stattdessen geht der Vorfall laut Unternehmen auf Credential-Stuffing-Angriffe zurück – eine Methode, bei der Kriminelle Passwörter aus anderen, davon unabhängigen Datenlecks nutzen, um sich bei Konten auf einer völlig anderen Plattform anzumelden. Der Chick-fil-A-Fall ist eine deutliche Erinnerung daran, dass ein Credential-Stuffing-Datenleck jedem Unternehmen passieren kann, egal wie sicher die eigenen Systeme sind, wenn Kunden Passwörter auf mehreren Websites wiederverwenden.

Was beim Chick-fil-A-Datenleck geschah

Laut der Benachrichtigung von Chick-fil-A an betroffene Kunden verschafften sich Angreifer durch eine Welle von Credential-Stuffing-Versuchen unbefugten Zugang zu einer Reihe von Kundenkonten. Statt eine Schwachstelle im eigenen Netzwerk oder in der Datenbank von Chick-fil-A auszunutzen, verwendeten die Angreifer Kombinationen aus Benutzernamen und Passwörtern, die bereits anderswo offengelegt worden waren – vermutlich aus früheren Datenlecks bei anderen Unternehmen – und testeten sie am Anmeldesystem von Chick-fil-A. Wenn Kunden dieselbe E-Mail-Passwort-Kombination auf mehreren Websites verwendet hatten, funktionierten diese Zugangsdaten und verschafften den Angreifern Zugang zu den Treueprogramm-Konten.

Dies ist eine wichtige Unterscheidung. Chick-fil-A wurde nicht in dem Sinne gehackt, dass Server infiltriert oder interne Daten direkt gestohlen wurden. Vielmehr wurde das Anmeldeportal des Unternehmens zum Ziel eines automatisierten Angriffs, der vollständig auf das Passwortverhalten der Kunden angewiesen war. Die Kette benachrichtigt nun betroffene Personen im Rahmen ihrer Offenlegungspflichten – ein Schritt, der immer häufiger wird, da Unternehmen branchenübergreifend mit derselben Art automatisierter Kontoübernahmeversuche zu kämpfen haben.

Warum Credential Stuffing funktioniert, selbst wenn ein Unternehmen nicht direkt gehackt wird

Credential-Stuffing-Angriffe sind wirkungsvoll, weil sie ein einfaches, weit verbreitetes menschliches Verhalten ausnutzen: die Wiederverwendung von Passwörtern. Angreifer müssen die Abwehrmaßnahmen eines bestimmten Unternehmens nicht durchbrechen. Sie nehmen einfach riesige Listen mit geleakten Benutzernamen und Passwörtern, die oft aus Lecks stammen, die nichts mit dem angegriffenen Unternehmen zu tun haben, und setzen sie mit automatisierten Werkzeugen – sogenannten „Bots“ – ein, die massenhaft Anmeldeversuche auf vielen verschiedenen Websites und Apps durchführen.

Da so viele Menschen dasselbe Passwort für E-Mail-, Einzelhandels-, Bank- und Treueprogrammkonten wiederverwenden, kann schon ein kleiner Prozentsatz erfolgreicher Anmeldungen Tausende kompromittierte Konten bedeuten. Ein Unternehmen kann über eine starke interne Sicherheit, robuste Verschlüsselung und keine Schwachstellen im eigenen Code verfügen – und trotzdem werden Kundenkonten gekapert, einfach weil die Zugangsdaten dieser Kunden andernorts vollständig offengelegt wurden.

Diese Dynamik macht Credential Stuffing grundlegend anders als ein herkömmliches Datenleck, bei dem die eigenen Systeme eines Unternehmens durchdrungen werden. Sie erschwert es auch, dies allein durch Ausgaben für Unternehmenssicherheit zu verhindern, denn das schwache Glied befindet sich oft außerhalb des eigenen Netzwerks: in den wiederverwendeten Passwörtern, die in den Köpfen der Kunden oder in Passwortmanagern lagern. Es ist eine ähnliche Lehre wie bei schnell um sich greifenden Bedrohungen wie Spirals ransomware, bei denen Geschwindigkeit und Automatisierung den Angreifern einen Vorteil verschaffen, mit dem traditionelle Abwehrmaßnahmen kaum mithalten können.

Was Kunden jetzt tun sollten

Falls Sie ein Chick-fil-A-Konto besitzen – oder überhaupt ein Konto bei einem Treueprogramm –, gibt es sofortige Maßnahmen, die sich lohnen. Ändern Sie erstens umgehend Ihr Passwort für das betroffene Konto und stellen Sie sicher, dass das neue Passwort einzigartig ist und nicht von einer anderen Website stammt. Zweitens: Überprüfen Sie, ob Sie dasselbe Passwort anderswo verwendet haben, etwa bei E-Mail-, Bank- oder Einkaufskonten, und aktualisieren Sie es auch dort, falls nötig.

Es lohnt sich auch, Ihre Kontoaktivitäten auf Ungewöhnliches zu prüfen, wie etwa unbekannte Bestellungen, Änderungen an hinterlegten Zahlungsmethoden oder eingelöste Prämienpunkte, die Sie nicht autorisiert haben. Falls die Benachrichtigung von Chick-fil-A eine konkrete Anleitung oder eine Frist für die Zurücksetzung der Zugangsdaten enthält, verringert das Befolgen dieser Anweisungen das Zeitfenster, in dem Angreifer weiterhin wiederverwendete Passwörter testen können.

Bessere Passworthygiene: Manager, einzigartige Logins und MFA

Der Chick-fil-A-Vorfall ist ein guter Anstoß, Ihre allgemeinen Passwortgewohnheiten zu überprüfen – nicht nur für dieses eine Konto. Ein Passwortmanager macht es realistisch, für jedes einzelne Konto ein einzigartiges, komplexes Passwort zu generieren und zu speichern, und nimmt die Versuchung, aus Bequemlichkeit ein vertrautes Passwort wiederzuverwenden. In Kombination mit Multi-Faktor-Authentifizierung (MFA), wo immer sie angeboten wird – selbst bei Treue- und Einzelhandelskonten –, entsteht eine nennenswerte Hürde gegen Credential Stuffing, denn ein gestohlenes Passwort allein reicht dann nicht aus, um einen Angreifer hineinzulassen.

Viele Menschen unterschätzen, wie wertvoll Treuekonten für Angreifer sein können. Prämienpunkte, hinterlegte Zahlungsdetails und persönliche Informationen haben alle einen Wiederverkaufswert oder können für weiteren Betrug genutzt werden. Diese Konten mit dem gleichen Ernst zu behandeln wie ein Bank-Login, ist ein kluger Perspektivwechsel.

Was das für Sie bedeutet

Das Chick-fil-A-Datenleck ist eigentlich keine Geschichte über ein Versagen der Sicherheit von Chick-fil-A. Es ist eine Geschichte darüber, wie vernetzt unsere Online-Identitäten inzwischen sind und wie ein Leck bei einem Unternehmen auf Konten überall anders ausstrahlen kann, wenn Passwörter wiederverwendet werden. Selbst gut gesicherte Unternehmen können feststellen, dass ihre Anmeldesysteme durch Credential Stuffing ins Visier genommen werden, denn die Schwachstelle liegt im Kundenverhalten, nicht in der Unternehmensinfrastruktur. Jeder mit einem Chick-fil-A-Konto – und ehrlich gesagt mit irgendeinem Online-Konto – sollte dies als Anstoß nehmen, seine Passwortpraktiken insgesamt zu überdenken, nicht nur für den einen Dienst, der in den Schlagzeilen steht.

Umsetzbare Erkenntnisse:

  • Setzen Sie Ihr Chick-fil-A-Konto-Passwort sofort zurück und verwenden Sie ein einzigartiges Passwort, das mit keiner anderen Website geteilt wird.
  • Überprüfen Sie andere Konten auf wiederverwendete Passwörter und aktualisieren Sie diese, beginnend mit E-Mail, Banking und allen Konten, die Zahlungsinformationen enthalten.
  • Aktivieren Sie Multi-Faktor-Authentifizierung überall dort, wo sie verfügbar ist, besonders bei Treue- und Einzelhandelskonten, die Zahlungsdetails speichern.
  • Ziehen Sie einen Passwortmanager in Betracht, um für jedes von Ihnen genutzte Konto einzigartige Zugangsdaten zu generieren und zu speichern.
  • Überwachen Sie Ihre Chick-fil-A-Kontoaktivitäten auf unbekannte Bestellungen oder Prämieneinlösungen und melden Sie Verdächtiges dem Kundensupport.

Credential-Stuffing-Angriffe werden weiterhin beliebte Verbraucherplattformen ins Visier nehmen, weil die zugrunde liegende Schwäche – die Wiederverwendung von Passwörtern – so weit verbreitet ist. Sich jetzt ein paar Minuten Zeit zu nehmen, um seine Anmeldegewohnheiten zu stärken, kann später viel größere Kopfschmerzen verhindern.