Sự cố rò rỉ dữ liệu Chick-fil-A: Điều gì đã xảy ra

Chick-fil-A đang thông báo cho khách hàng tại 10 tiểu bang rằng tài khoản khách hàng thân thiết Chick-fil-A One của họ đã bị kẻ tấn công truy cập bằng cách sử dụng thông tin đăng nhập bị đánh cắp. Theo công ty, sự cố bắt nguồn từ tháng 6 và được xác định là thông qua kỹ thuật gọi là credential stuffing, chứ không phải là một vụ tấn công trực tiếp vào hệ thống của Chick-fil-A. Kẻ tấn công lấy tên người dùng và mật khẩu bị rò rỉ từ các vụ vi phạm dữ liệu khác, không liên quan, rồi thử nghiệm chúng trên các tài khoản Chick-fil-A One. Những khách hàng nào dùng lại cùng một mật khẩu trên nhiều trang web thì kẻ tấn công sẽ đăng nhập được.

Sự khác biệt này rất quan trọng. Các máy chủ của Chick-fil-A không bị xâm phạm theo cách truyền thống; không có dấu hiệu nào cho thấy mạng nội bộ của công ty bị tổn thương. Thay vào đó, mắt xích yếu chính là việc khách hàng dùng lại mật khẩu, một vấn đề ảnh hưởng đến hầu hết mọi dịch vụ trực tuyến có trang đăng nhập. Để có cái nhìn chi tiết hơn về cách cuộc tấn công diễn ra, bài viết trước đây của chúng tôi về sự cố credential stuffing phân tích cách công ty phát hiện hoạt động tài khoản bất thường và bắt đầu điều tra.

Thông tin nào đã bị lộ

Dữ liệu bị lộ khác nhau tùy theo tài khoản, nhưng có thể bao gồm tên, địa chỉ email, ngày sinh và bốn chữ số cuối của thẻ tín dụng hoặc thẻ ghi nợ được lưu trong hồ sơ. Số dư điểm thưởng gắn với tài khoản Chick-fil-A One cũng có thể bị kẻ tấn công đăng nhập truy cập. Có vẻ như số thẻ đầy đủ không bị lộ, điều này giúp giảm thiểu, nhưng không loại bỏ, nguy cơ gian lận tài chính trực tiếp. Mối lo ngại lớn hơn đối với hầu hết khách hàng bị ảnh hưởng là điều đôi khi được gọi là việc ghép mảnh danh tính: kết hợp tên, email và ngày sinh với dữ liệu từ các vụ vi phạm khác để tạo nên một hồ sơ đầy đủ hơn nhằm phục vụ cho các âm mưu lừa đảo qua mạng, chiếm đoạt tài khoản hoặc tấn công phi kỹ thuật xã hội.

Chick-fil-A cho biết họ đang trực tiếp thông báo cho khách hàng bị ảnh hưởng và khuyến nghị đặt lại mật khẩu. Công ty cũng đề cập đến việc tăng cường giám sát tài khoản sau khi phát hiện ra sự truy cập trái phép.

Tại sao credential stuffing vẫn tiếp tục hiệu quả

Credential stuffing thành công vì có quá nhiều người dùng lại mật khẩu trên nhiều tài khoản. Khi một công ty bị vi phạm dữ liệu và thông tin đăng nhập bị rò rỉ lên dark web, các công cụ tự động có thể nhanh chóng kiểm tra những tổ hợp email-mật khẩu tương tự trên hàng chục dịch vụ phổ biến khác, từ các chương trình khách hàng thân thiết bán lẻ cho đến ứng dụng ngân hàng. Chick-fil-A One, với các phương thức thanh toán được lưu trữ và điểm thưởng có giá trị thực, đã trở thành mục tiêu hấp dẫn.

Kiểu tấn công này hiện là một trong những nguyên nhân phổ biến nhất gây lộ dữ liệu người tiêu dùng, chính xác là vì nó không đòi hỏi kẻ tấn công phải tìm ra một lỗ hổng mới. Nó chỉ yêu cầu ở đâu đó có khách hàng đã dùng lại mật khẩu. Đó là một vấn đề khó mà bất kỳ công ty đơn lẻ nào cũng có thể tự mình giải quyết, đó là lý do tại sao bảo mật tài khoản ngày càng phụ thuộc vào thói quen cá nhân như sử dụng mật khẩu duy nhất và bật xác thực đa yếu tố ở bất cứ nơi nào được cung cấp.

Điều này có ý nghĩa gì với bạn

Nếu bạn có tài khoản Chick-fil-A One, đặc biệt là tài khoản được liên kết với phương thức thanh toán đã lưu, hãy coi đây là lời nhắc nhở bạn xem xét lại vấn đề bảo mật tài khoản hơn là một lý do để hoảng sợ. Chick-fil-A cho biết số thẻ đầy đủ không bị lộ và công ty đang tích cực thông báo cho khách hàng bị ảnh hưởng, nhưng việc tên, email, ngày sinh và chi tiết một phần thẻ lọt vào tay kẻ xấu cũng đủ để tiếp tay cho các nỗ lực lừa đảo qua mạng có chủ đích. Hãy cảnh giác với các email hoặc tin nhắn văn bản nhắc đến tài khoản Chick-fil-A, tên hoặc số dư điểm thưởng của bạn, rồi yêu cầu bạn nhấp vào liên kết hoặc xác minh thông tin thanh toán. Các công ty hợp pháp hiếm khi yêu cầu thông tin nhạy cảm theo cách này.

Bài học rộng hơn còn vượt xa các chương trình khách hàng thân thiết của đồ ăn nhanh. Bất kỳ tài khoản nào bạn đã dùng lại mật khẩu từ một trang khác đều có thể dễ bị tổn thương trước cùng kỹ thuật credential stuffing, bất kể công ty cụ thể đó đã từng bị vi phạm dữ liệu hay chưa.

Các biện pháp cần thực hiện

  • Đặt lại mật khẩu Chick-fil-A One của bạn ngay lập tức và đặt mật khẩu duy nhất cho tài khoản này thay vì dùng lại mật khẩu từ nơi khác.
  • Bật xác thực đa yếu tố trên ứng dụng Chick-fil-A One nếu có, và trên bất kỳ tài khoản khách hàng thân thiết hoặc thanh toán nào khác có cung cấp tính năng này.
  • Sử dụng trình quản lý mật khẩu để tạo và lưu trữ mật khẩu duy nhất, phức tạp cho mọi tài khoản, loại bỏ sự cám dỗ phải dùng lại thông tin đăng nhập.
  • Theo dõi các phương thức thanh toán được liên kết và bảng sao kê ngân hàng để phát hiện các khoản phí lạ, đặc biệt là các giao dịch kiểm tra nhỏ mà kẻ tấn công đôi khi sử dụng để xác minh dữ liệu thẻ bị đánh cắp.
  • Hãy hoài nghi với các email hoặc tin nhắn văn bản không mong muốn đề cập đến sự cố này và truy cập trực tiếp vào ứng dụng hoặc trang web chính thức của Chick-fil-A thay vì nhấp vào các liên kết được nhúng.

Sự cố rò rỉ dữ liệu của Chick-fil-A là một lời nhắc nhở rằng việc dùng lại mật khẩu, chứ không phải lỗi bảo mật của một công ty đơn lẻ, vẫn là một trong những cách phổ biến nhất khiến dữ liệu cá nhân và thanh toán lọt vào tay kẻ xấu. Dành vài phút ngay bây giờ để tăng cường bảo mật tài khoản có thể giúp bạn tránh khỏi những rắc rối lớn hơn về sau.