Chick-fil-A obavještava kupce o povredi podataka koja je napadačima omogućila provalu u korisničke račune, ali sam lanac brze hrane nije hakiran u tradicionalnom smislu. Umjesto toga, tvrtka navodi da je incident proizašao iz napada ubacivanja vjerodajnica (credential stuffing), metode u kojoj kriminalci koriste lozinke ukradene iz drugih, nepovezanih proboja podataka kako bi se prijavili u račune na potpuno drugoj platformi. Slučaj Chick-fil-A jasan je podsjetnik da se povreda podataka putem ubacivanja vjerodajnica može dogoditi bilo kojoj tvrtki, bez obzira na to koliko su njezini vlastiti sustavi sigurni, ako kupci ponovno koriste lozinke na više stranica.

Što se dogodilo u povredi podataka u Chick-fil-A

Prema obavijesti Chick-fil-A pogođenim kupcima, napadači su dobili neovlašteni pristup određenom broju korisničkih računa putem vala pokušaja ubacivanja vjerodajnica. Umjesto da iskoriste ranjivost u vlastitoj mreži ili bazi podataka Chick-fil-A, napadači su koristili kombinacije korisničkih imena i lozinki koje su već bile otkrivene negdje drugdje, vjerojatno iz prethodnih proboja u drugim tvrtkama, te su ih testirali na sustavu za prijavu Chick-fil-A. Kada su kupci ponovno upotrijebili istu kombinaciju e-pošte i lozinke na više stranica, te su vjerodajnice funkcionirale, dajući napadačima pristup računima programa vjernosti.

Ovo je važna razlika. Chick-fil-A nije bio žrtva proboja u smislu infiltracije u njihove poslužitelje ili izravne krađe internih podataka. Umjesto toga, portal za prijavu tvrtke postao je meta automatiziranog napada koji se u potpunosti oslanjao na navike kupaca u vezi s lozinkama. Lanac sada obavještava pogođene pojedince u sklopu svojih obveza otkrivanja podataka, što je korak koji je postao sve uobičajeniji dok se tvrtke iz raznih industrija bore s istom vrstom automatiziranih pokušaja preuzimanja računa.

Zašto ubacivanje vjerodajnica funkcionira čak i kada tvrtka nije izravno hakirana

Napadi ubacivanja vjerodajnica učinkoviti su jer iskorištavaju jednostavno, široko rasprostranjeno ljudsko ponašanje: ponovnu upotrebu lozinki. Napadači ne moraju probiti obranu određene tvrtke. Oni jednostavno uzimaju ogromne popise procurjelih korisničkih imena i lozinki, često prikupljenih iz proboja koji nemaju nikakve veze s ciljanom tvrtkom, te ih pokreću kroz automatizirane alate zvane "botovi" koji u velikim razmjerima pokušavaju pristupiti mnogim različitim web stranicama i aplikacijama.

Budući da toliko ljudi ponovno koristi istu lozinku na računima e-pošte, trgovina, banaka i programa vjernosti, čak i mali postotak uspješnih pokušaja prijave može rezultirati tisućama kompromitiranih računa. Tvrtka može imati snažnu internu sigurnost, robusnu enkripciju i nikakve ranjivosti u vlastitom kodu, a svejedno može doživjeti otmicu korisničkih računa jednostavno zato što su vjerodajnice tih kupaca bile izložene negdje sasvim drugdje.

Ova dinamika čini ubacivanje vjerodajnica fundamentalno drugačijim od tradicionalne povrede podataka gdje su vlastiti sustavi tvrtke probijeni. To također otežava prevenciju isključivo putem korporativne potrošnje na sigurnost, budući da se slaba karika često nalazi izvan vlastite mreže tvrtke, u ponovno korištenim lozinkama koje se nalaze u glavama kupaca ili njihovim upraviteljima lozinki. To je slična lekcija onoj koju smo vidjeli s brzim prijetnjama poput Spirals ransomwarea, gdje brzina i automatizacija daju napadačima prednost s kojom se tradicionalne obrane teško nose.

Koraci koje bi kupci trebali poduzeti odmah

Ako imate Chick-fil-A račun, ili bilo koji račun programa vjernosti, postoje hitni koraci koje vrijedi poduzeti. Prvo, odmah promijenite lozinku na pogođenom računu i pobrinite se da nova lozinka bude jedinstvena, a ne ponovno korištena s bilo koje druge stranice. Drugo, provjerite jeste li tu istu lozinku koristili bilo gdje drugdje, uključujući e-poštu, bankarstvo ili račune za kupovinu, i ažurirajte je i tamo ako jeste.

Također vrijedi pregledati aktivnost na svom računu u potrazi za bilo čim neobičnim, poput nepoznatih narudžbi, promjena spremljenih načina plaćanja ili iskorištenih nagradnih bodova koje niste autorizirali. Ako je obavijest Chick-fil-A uključivala posebne upute ili rok za poništavanje vjerodajnica, brzo slijeđenje tih uputa smanjuje prozor mogućnosti za napadače koji još uvijek ispituju ponovno korištene lozinke.

Izgradnja bolje higijene lozinki: upravitelji, jedinstvene prijave i MFA

Incident s Chick-fil-A koristan je poticaj za reviziju vaših širih navika u vezi s lozinkama, ne samo za ovaj jedan račun. Upravitelj lozinki omogućuje generiranje i pohranu jedinstvene, složene lozinke za svaki pojedini račun koji posjedujete, uklanjajući iskušenje da ponovno upotrijebite poznatu lozinku radi praktičnosti. U kombinaciji s višefaktorskom autentifikacijom (MFA) gdje god se nudi, čak i na računima vjernosti i maloprodaje, to stvara značajnu barijeru protiv ubacivanja vjerodajnica, jer ukradena lozinka sama po sebi neće biti dovoljna da napadač uđe.

Mnogi ljudi podcjenjuju koliko korisnički računi mogu biti vrijedni napadačima. Nagradni bodovi, spremljeni podaci o plaćanju i osobne informacije imaju vrijednost za preprodaju ili se mogu koristiti za daljnje prijevare. Tretirati ove račune s jednakom ozbiljnošću kao i prijavu u banku pametan je pomak u razmišljanju.

Što ovo znači za vas

Povreda podataka u Chick-fil-A zapravo nije priča o sigurnosnom propustu Chick-fil-A. To je priča o tome koliko su naši online identiteti postali međusobno povezani i kako proboj u jednoj tvrtki može imati valovite posljedice na račune posvuda drugdje ako se lozinke ponovno koriste. Čak i dobro osigurane tvrtke mogu doživjeti da njihovi sustavi za prijavu postanu meta ubacivanja vjerodajnica, jer ranjivost leži u ponašanju kupaca, a ne u korporativnoj infrastrukturi. Svatko s Chick-fil-A računom, ili iskreno bilo kojim online računom, trebao bi ovo shvatiti kao poticaj da preispita svoje prakse u vezi s lozinkama u cijelosti, a ne samo za jednu uslugu spomenutu u naslovima.

Konkretni koraci:

  • Odmah poništite lozinku za svoj Chick-fil-A račun, koristeći jedinstvenu lozinku koja se ne dijeli ni s jednom drugom stranicom.
  • Provjerite ostale račune za ponovno korištene lozinke i ažurirajte ih, počevši s e-poštom, bankarstvom i bilo kojim računom koji sadrži podatke o plaćanju.
  • Omogućite višefaktorsku autentifikaciju gdje god je dostupna, posebno na računima vjernosti i maloprodaje koji pohranjuju podatke o plaćanju.
  • Razmislite o upravitelju lozinki za generiranje i pohranu jedinstvenih vjerodajnica za svaki račun koji koristite.
  • Pratite aktivnost na svom Chick-fil-A računu na nepoznate narudžbe ili iskorištavanja nagrada i prijavite bilo što sumnjivo korisničkoj podršci.

Napadi ubacivanja vjerodajnica nastavit će ciljati popularne potrošačke platforme jer je temeljna slabost, ponovna upotreba lozinki, toliko raširena. Odvojiti nekoliko minuta sada za jačanje vaših navika prijave može spriječiti puno veću glavobolju kasnije.