Витік даних Chick-fil-A: що сталося

Chick-fil-A повідомляє клієнтів у 10 штатах, що їхні облікові записи програми лояльності Chick-fil-A One були скомпрометовані зловмисниками, які використовували викрадені облікові дані. За даними компанії, порушення бере свій початок у червні і було виявлено за допомогою так званого credential stuffing (підбору облікових даних), а не прямого зламу власних систем Chick-fil-A. Зловмисники взяли імена користувачів та паролі, що витекли з інших, не пов’язаних між собою витоків, і перевірили їх на облікових записах Chick-fil-A One. Там, де клієнти повторно використовували той самий пароль на кількох сайтах, зловмисники отримували доступ.

Ця відмінність важлива. Сервери Chick-fil-A не було зламано в традиційному розумінні; немає жодних ознак компрометації внутрішньої мережі компанії. Натомість слабкою ланкою стало повторне використання паролів клієнтами — проблема, яка стосується майже кожного онлайн-сервісу зі сторінкою входу. Щоб детальніше розібратися, як розгорталася атака, наш попередній огляд інциденту з credential stuffing описує, як компанія виявила незвичну активність облікових записів і розпочала розслідування.

Яка інформація була розкрита

Розкриті дані різняться залежно від облікового запису, але можуть включати імена, адреси електронної пошти, дати народження та останні чотири цифри збереженої кредитної або дебетової картки. Залишки винагород, прив’язані до облікових записів Chick-fil-A One, також потенційно могли бути доступні зловмисникам, які увійшли в систему. Повні номери карток, схоже, не було розкрито, що обмежує, але не усуває ризик прямого фінансового шахрайства. Більшою проблемою для більшості постраждалих клієнтів є так зване складання ідентифікаційної мозаїки: поєднання імені, електронної пошти та дати народження з даними з інших витоків для створення більш повного профілю для фішингу, захоплення облікових записів або спроб соціальної інженерії.

Chick-fil-A повідомила, що безпосередньо інформує постраждалих клієнтів і рекомендує змінити паролі. Компанія також вказала на посилений моніторинг облікових записів після виявлення несанкціонованого доступу.

Чому credential stuffing продовжує спрацьовувати

Credential stuffing вдається, тому що багато людей повторно використовують паролі в різних облікових записах. Коли одна компанія зазнає витоку, і облікові дані потрапляють у даркнет, автоматизовані інструменти можуть швидко перевірити ті самі комбінації електронної пошти та пароля на десятках інших популярних сервісів — від програм лояльності роздрібних мереж до банківських застосунків. Chick-fil-A One зі збереженими способами оплати та бонусними балами, що мають реальну цінність, стала привабливою мішенню.

Цей тип атаки сьогодні є однією з найпоширеніших причин витоку споживчих даних, саме тому, що він не вимагає від зловмисників пошуку нової вразливості. Потрібно лише, щоб десь клієнт повторно використав пароль. Цю проблему важко вирішити силами однієї компанії, тому безпека облікових записів дедалі більше залежить від особистих звичок, як-от використання унікальних паролів та ввімкнення багатофакторної автентифікації там, де вона пропонується.

Що це означає для вас

Якщо у вас є обліковий запис Chick-fil-A One, особливо прив’язаний до збереженого способу оплати, сприйміть це як привід переглянути безпеку свого облікового запису, а не як причину для паніки. Chick-fil-A заявила, що повні номери карток не було розкрито, і компанія активно повідомляє постраждалих клієнтів, однак наявність імен, адрес електронної пошти, дат народження та часткових даних картки в чужих руках достатня для проведення цілеспрямованих фішингових атак. Будьте уважні до електронних листів або текстових повідомлень, які посилаються на ваш обліковий запис Chick-fil-A, ім’я або баланс винагород і просять натиснути посилання чи підтвердити платіжну інформацію. Легітимні компанії рідко запитують конфіденційні дані таким чином.

Ширший урок виходить далеко за межі програм лояльності закладів швидкого харчування. Будь-який обліковий запис, де ви повторно використали пароль з іншого сайту, потенційно вразливий до тієї ж техніки credential stuffing, незалежно від того, чи зазнавала ця конкретна компанія витоку коли-небудь.

Що варто зробити

  • Негайно змініть пароль до Chick-fil-A One і зробіть його унікальним для цього облікового запису, а не використовуйте пароль з іншого місця.
  • Увімкніть багатофакторну автентифікацію в застосунку Chick-fil-A One, якщо вона доступна, а також у будь-якому іншому обліковому записі лояльності чи платежів, який її пропонує.
  • Використовуйте менеджер паролів для генерації та зберігання унікальних складних паролів для кожного облікового запису, усуваючи спокусу повторного використання облікових даних.
  • Відстежуйте свої прив’язані способи оплати та банківські виписки на предмет незнайомих транзакцій, особливо невеликих тестових спроб, які зловмисники іноді використовують для перевірки викрадених даних карток.
  • Скептично ставтеся до непроханих електронних листів або SMS із посиланням на цей витік і переходьте безпосередньо в офіційний застосунок або на вебсайт Chick-fil-A, а не натискайте вбудовані посилання.

Витік даних Chick-fil-A нагадує, що повторне використання паролів, а не збій у безпеці окремої компанії, залишається одним із найпоширеніших шляхів, якими особисті та платіжні дані потрапляють у чужі руки. Витративши кілька хвилин зараз на посилення безпеки облікового запису, ви зможете запобігти значно більшому головному болю в майбутньому.