Chick-fil-A-datalek: wat er gebeurde

Chick-fil-A stelt klanten in 10 staten op de hoogte dat hun Chick-fil-A One-loyaliteitsaccounts zijn benaderd door aanvallers die gestolen inloggegevens gebruikten. Volgens het bedrijf dateert het datalek van juni en werd het vastgesteld via zogenaamde credential stuffing, niet via een directe hack van de eigen systemen van Chick-fil-A. Aanvallers namen gebruikersnamen en wachtwoorden die bij andere, niet-gerelateerde datalekken waren buitgemaakt en testten die op Chick-fil-A One-accounts. Als klanten hetzelfde wachtwoord op meerdere sites hadden hergebruikt, konden aanvallers binnendringen.

Dit onderscheid is belangrijk. De servers van Chick-fil-A zijn niet op de traditionele manier gehackt; er is geen aanwijzing dat het interne netwerk van het bedrijf is gecompromitteerd. In plaats daarvan lag de zwakke schakel in het hergebruik van wachtwoorden door klanten, een probleem dat vrijwel elke onlinedienst met een inlogpagina treft. Voor een nadere blik op hoe de aanval zich voltrok, beschrijft onze eerdere berichtgeving over het credential stuffing-incident hoe het bedrijf de ongebruikelijke accountactiviteit ontdekte en het onderzoek begon.

Welke informatie is blootgesteld

De blootgestelde gegevens variëren per account, maar kunnen namen, e-mailadressen, geboortedatums en de laatste vier cijfers van een opgeslagen creditcard- of debetkaart omvatten. Tegoeden van beloningen die aan Chick-fil-A One-accounts zijn gekoppeld, waren mogelijk ook toegankelijk voor aanvallers die inlogden. Volledige kaartnummers lijken niet te zijn blootgesteld, wat het risico op directe financiële fraude beperkt, maar niet uitsluit. De grootste zorg voor de meeste getroffen klanten is wat weleens identiteitspuzzelen wordt genoemd: het combineren van een naam, e-mailadres en geboortedatum met gegevens uit andere datalekken om een completer profiel op te bouwen voor phishing, accountovername of social engineering-pogingen.

Chick-fil-A heeft gezegd getroffen klanten rechtstreeks te informeren en aan te bevelen hun wachtwoord opnieuw in te stellen. Het bedrijf heeft ook gewezen op verscherpte accountmonitoring na de ontdekking van de ongeautoriseerde toegang.

Waarom credential stuffing blijft werken

Credential stuffing slaagt omdat zoveel mensen wachtwoorden hergebruiken voor meerdere accounts. Wanneer een bedrijf een datalek ondervindt en inloggegevens op het dark web lekken, kunnen geautomatiseerde tools diezelfde combinaties van e-mail en wachtwoord snel testen bij tientallen andere populaire diensten, van loyaliteitsprogramma's van winkels tot bankapps. Chick-fil-A One, met opgeslagen betaalmethoden en beloningspunten die echte waarde vertegenwoordigen, vormde een aantrekkelijk doelwit.

Dit type aanval is nu een van de meest voorkomende oorzaken van blootstelling van consumentengegevens, juist omdat aanvallers geen nieuwe kwetsbaarheid hoeven te vinden. Het vereist alleen dat klanten ergens een wachtwoord hebben hergebruikt. Dat is een lastig probleem voor elk bedrijf om alleen op te lossen, daarom hangt accountbeveiliging steeds meer af van individuele gewoonten zoals het gebruik van unieke wachtwoorden en het inschakelen van multi-factor authenticatie waar dat wordt aangeboden.

Wat dit voor jou betekent

Als je een Chick-fil-A One-account hebt, vooral een die gekoppeld is aan een opgeslagen betaalmethode, beschouw dit dan als een aanleiding om je accountbeveiliging te controleren, niet als een reden tot paniek. Chick-fil-A heeft gezegd dat volledige kaartnummers niet zijn blootgesteld en het bedrijf stelt getroffen klanten actief op de hoogte, maar de aanwezigheid van namen, e-mailadressen, geboortedatums en gedeeltelijke kaartgegevens in verkeerde handen is voldoende om gerichte phishingpogingen te voeden. Let op e-mails of sms'jes die verwijzen naar je Chick-fil-A-account, naam of beloningstegoed en je vragen om op een link te klikken of betalingsinformatie te verifiëren. Gerenommeerde bedrijven vragen zelden op deze manier om gevoelige gegevens.

De bredere les reikt veel verder dan loyaliteitsprogramma's van fastfoodketens. Elk account waarvoor je een wachtwoord van een andere site hebt hergebruikt, is kwetsbaar voor dezelfde credential stuffing-techniek, ongeacht of dat specifieke bedrijf ooit een datalek heeft gehad.

Concrete actiepunten

  • Stel onmiddellijk je Chick-fil-A One-wachtwoord opnieuw in en maak het uniek voor dat account, in plaats van een wachtwoord van elders te hergebruiken.
  • Schakel multi-factor authenticatie in op de Chick-fil-A One-app als die beschikbaar is, en op elk ander loyaliteits- of betaalaccount dat dit aanbiedt.
  • Gebruik een wachtwoordmanager om unieke, complexe wachtwoorden te genereren en op te slaan voor elk account, zodat de verleiding om inloggegevens te hergebruiken verdwijnt.
  • Controleer je gekoppelde betaalmethoden en bankafschriften op onbekende afschrijvingen, met name kleine testtransacties die aanvallers soms gebruiken om gestolen kaartgegevens te verifiëren.
  • Wees sceptisch over ongevraagde e-mails of sms'jes die naar dit datalek verwijzen en ga rechtstreeks naar de officiële app of website van Chick-fil-A in plaats van op ingesloten links te klikken.

Het Chick-fil-A-datalek herinnert ons eraan dat het hergebruiken van wachtwoorden, niet het falen van de beveiliging van één bedrijf, een van de meest voorkomende manieren blijft waarop persoonlijke gegevens en betaalgegevens in verkeerde handen vallen. Nu een paar minuten nemen om je accountbeveiliging te versterken, kan later een veel grotere hoofdpijn voorkomen.