Chick-fil-A notifică clienții cu privire la o breșă de date care a permis atacatorilor să intre în conturile de loialitate, dar lanțul de fast-food nu a fost spart în sensul tradițional. În schimb, compania spune că incidentul a provenit din atacuri de tip credential stuffing, o metodă prin care infractorii folosesc parole furate din alte breșe, fără legătură cu compania, pentru a se conecta la conturi pe o platformă complet diferită. Cazul Chick-fil-A este un memento clar că o breșă de date prin credential stuffing se poate întâmpla oricărei companii, indiferent cât de sigure sunt propriile sale sisteme, dacă clienții refolosesc parolele pe mai multe site-uri.

Ce s-a întâmplat în breșa Chick-fil-A

Conform notificării trimise de Chick-fil-A clienților afectați, atacatorii au obținut acces neautorizat la un număr de conturi de clienți printr-o serie de încercări de tip credential stuffing. În loc să exploateze o vulnerabilitate din rețeaua sau baza de date proprie Chick-fil-A, atacatorii au folosit combinații de nume de utilizator și parole care fuseseră deja expuse în altă parte, provenite probabil din breșe anterioare la alte companii, și le-au testat împotriva sistemului de autentificare al Chick-fil-A. Atunci când clienții au refolosit aceeași combinație de e-mail și parolă pe mai multe site-uri, aceste credențiale au funcționat, oferind atacatorilor acces la conturile programului de loialitate.

Aceasta este o distincție importantă. Chick-fil-A nu a fost spart în sensul că serverele sale ar fi fost infiltrate sau datele interne furate direct. În schimb, portalul de autentificare al companiei a devenit ținta unui atac automatizat care s-a bazat în întregime pe obiceiurile clienților de a-și alege parolele. Lanțul de restaurante notifică acum persoanele afectate ca parte a obligațiilor sale de divulgare, un pas care a devenit din ce în ce mai frecvent pe măsură ce companiile din toate industriile se confruntă cu același tip de încercări automatizate de preluare a conturilor.

De ce funcționează credential stuffing chiar și atunci când o companie nu este spartă direct

Atacurile de credential stuffing sunt eficiente pentru că exploatează un comportament uman simplu și răspândit: refolosirea parolelor. Atacatorii nu trebuie să spargă apărarea unei anumite companii. Pur și simplu iau liste uriașe de nume de utilizator și parole scurse, adesea colectate din breșe care nu au nicio legătură cu afacerea vizată, și le rulează prin instrumente automatizate numite „boți” care încearcă autentificări la scară pe mai multe site-uri web și aplicații diferite.

Deoarece atât de mulți oameni refolosesc aceeași parolă pentru e-mail, retail, servicii bancare și conturile programelor de loialitate, chiar și un procent mic de încercări de autentificare reușite se poate traduce prin mii de conturi compromise. O companie poate avea securitate internă puternică, criptare robustă și nicio vulnerabilitate în propriul cod și totuși poate vedea conturile clienților deturnate pur și simplu pentru că acele credențiale au fost expuse undeva cu totul în altă parte.

Această dinamică face ca credential stuffing să fie fundamental diferit de o breșă de date tradițională, în care sistemele proprii ale companiei sunt penetrate. De asemenea, o face mai greu de prevenit exclusiv prin cheltuieli de securitate corporativă, deoarece veriga slabă se află adesea în afara rețelei companiei, în parolele refolosite stocate în mintea clienților sau în managerii de parole. Este o lecție similară cu ceea ce am văzut în cazul amenințărilor rapide precum ransomware-ul Spirals, unde viteza și automatizarea le oferă atacatorilor un avantaj pe care apărările tradiționale abia reușesc să-l contracareze.

Măsuri pe care clienții ar trebui să le ia acum

Dacă aveți un cont Chick-fil-A, sau de fapt orice cont de program de loialitate, există pași imediați pe care merită să-i faceți. În primul rând, schimbați-vă parola pentru contul afectat chiar acum și asigurați-vă că noua parolă este unică, nerefolosită de pe niciun alt site. În al doilea rând, verificați dacă ați folosit aceeași parolă în altă parte, inclusiv conturi de e-mail, bancare sau de cumpărături, și actualizați-o și acolo dacă este cazul.

De asemenea, merită să verificați activitatea contului dvs. pentru orice lucru neobișnuit, cum ar fi comenzi necunoscute, modificări ale metodelor de plată salvate sau puncte de recompensă valorificate fără autorizația dvs. Dacă notificarea Chick-fil-A a inclus îndrumări specifice sau un termen limită pentru resetarea credențialelor, urmarea promptă a acestor instrucțiuni reduce fereastra de oportunitate pentru atacatorii care încă încearcă parole refolosite.

Dezvoltarea unei igiene mai bune a parolelor: manageri, autentificări unice și MFA

Incidentul Chick-fil-A este un impuls util pentru a vă audita obiceiurile generale legate de parole, nu doar pentru acest cont. Un manager de parole face posibilă generarea și stocarea unei parole unice și complexe pentru fiecare cont pe care îl dețineți, eliminând tentația de a refolosi o parolă familiară din comoditate. Combinat cu autentificarea multi-factor (MFA) oriunde este oferită, chiar și pentru conturile de loialitate și retail, acest lucru creează o barieră semnificativă împotriva credential stuffing, deoarece doar o parolă furată nu va fi suficientă pentru ca un atacator să intre.

Mulți oameni subestimează cât de valoroase pot fi conturile de loialitate pentru atacatori. Punctele de recompensă, detaliile de plată salvate și informațiile personale au toate valoare de revânzare sau pot fi folosite pentru fraude ulterioare. Tratarea acestor conturi cu aceeași seriozitate ca pe o autentificare bancară este o schimbare inteligentă de mentalitate.

Ce înseamnă asta pentru dvs.

Breșa Chick-fil-A nu este cu adevărat o poveste despre eșecul securității Chick-fil-A. Este o poveste despre cât de interconectate au devenit identitățile noastre online și despre cum o breșă la o companie poate genera efecte în lanț care afectează conturi de pretutindeni dacă parolele sunt refolosite. Chiar și companiile bine securizate pot constata că sistemele lor de autentificare sunt vizate de credential stuffing, deoarece vulnerabilitatea rezidă în comportamentul clienților, mai degrabă decât în infrastructura corporativă. Oricine are un cont Chick-fil-A, sau sincer orice cont online, ar trebui să trateze acest lucru ca pe un imbold de a-și revizui practicile legate de parole în ansamblu, nu doar pentru serviciul menționat în titluri.

Concluzii aplicabile:

  • Resetați imediat parola contului dvs. Chick-fil-A, folosind o parolă unică care nu este partajată cu niciun alt site.
  • Verificați alte conturi pentru parole refolosite și actualizați-le, începând cu e-mailul, conturile bancare și orice cont care conține informații de plată.
  • Activați autentificarea multi-factor oriunde este disponibilă, în special pentru conturile de loialitate și retail care stochează detalii de plată.
  • Luați în considerare un manager de parole pentru a genera și stoca credențiale unice pentru fiecare cont pe care îl utilizați.
  • Monitorizați activitatea contului dvs. Chick-fil-A pentru comenzi sau valorificări de recompense necunoscute și raportați orice lucru suspect serviciului de asistență pentru clienți.

Atacurile de credential stuffing vor continua să vizeze platformele de consum populare, deoarece slăbiciunea de bază, refolosirea parolelor, este atât de larg răspândită. Să vă acordați câteva minute acum pentru a vă consolida obiceiurile de autentificare poate preveni o bătaie de cap mult mai mare mai târziu.