La cadena estadounidense de comida rápida Chicken-fil-A ha confirmado que más de 13.000 clientes sufrieron el robo de sus datos en una reciente ola de ataques de relleno de credenciales. La compañía reveló en notificaciones de violación de datos presentadas ante varias fiscalías generales que detectó los ataques dirigidos a su sitio web y aplicación móvil entre el 17 y el 19 de junio, tras identificar actividad sospechosa de inicio de sesión en ciertas cuentas de Chick-fil-A One.
Chick-fil-A afirma que los atacantes utilizaron herramientas automatizadas y credenciales 'obtenidas de una fuente externa' para hackear las cuentas de Chick-fil-A One y robar datos de los clientes. La empresa declaró a BleepingComputer: 'Recientemente identificamos un incidente de seguridad que pudo haber afectado a un número limitado de cuentas de Chick-fil-A One. Al descubrirlo, tomamos medidas para abordar, asegurar y restaurar las cuentas de inmediato, y nos estamos comunicando directamente con todos los clientes que pudieran haber sido afectados'.
Durante los ataques, los actores de amenazas accedieron a una combinación de nombres de clientes, direcciones de correo electrónico, números de membresía de Chick-fil-A One, el saldo de crédito de Chick-fil-A, los números de pago móvil y los últimos cuatro dígitos del número de tarjeta de crédito o débito. Además, pudieron haber accedido a fechas de nacimiento, números de teléfono y direcciones si estaban almacenados en las cuentas comprometidas.
Aunque la empresa no especificó cuántas personas vieron expuestos sus datos, Chick-fil-A señala en una presentación compartida por la Oficina del Fiscal General de Maine con BleepingComputer el miércoles que la filtración afectó a 13.322 personas en total. En presentaciones separadas, también informó a la oficina del fiscal general de Texas que el incidente afectó a 2.182 tejanos, y al de Massachusetts que afectó a 39 residentes. Chick-fil-A también envió cartas de notificación a residentes del Distrito de Columbia, Iowa, Maryland, Nuevo México, Nueva York, Carolina del Norte, Oregón, Vermont y Rhode Island.
En respuesta al incidente, Chick-fil-A afirma que cerró la sesión de todas las cuentas afectadas, eliminó los métodos de pago, restauró todos los saldos de las cuentas Chick-fil-A One comprometidas y añadió recompensas a las cuentas afectadas como disculpa. Dado que las cuentas fueron comprometidas porque utilizaban credenciales robadas de servicios de terceros, Chick-fil-A también aconsejó a los clientes afectados cambiar sus contraseñas lo antes posible.
Chick-fil-A ya había revelado en marzo de 2023 que hackers robaron la información personal de más de 71.000 clientes tras hackear sus cuentas en otra serie de ataques de relleno de credenciales entre diciembre de 2022 y febrero de 2023. Como una de las mayores cadenas de comida rápida de Estados Unidos, Chick-fil-A opera una red de más de 3.000 restaurantes en todo el país, así como en Canadá, Puerto Rico, Reino Unido y Singapur.
