De Amerikaanse fastfoodketen Chick-fil-A heeft bevestigd dat meer dan 13.000 klanten slachtoffer zijn geworden van een recente reeks credential stuffing aanvallen. Tussen 17 en 19 juni werden verdachte inlogpogingen op de website en mobiele app van Chick-fil-A gedetecteerd, gericht op specifieke Chick-fil-A One accounts.

De aanvallers maakten gebruik van geautomatiseerde tools en credentials die zij hadden verkregen via een derde partij om toegang te krijgen tot de accounts en klantgegevens te stelen. Volgens het bedrijf werden namen, e-mailadressen, lidmaatschapsnummers van Chick-fil-A One, het tegoed op de accounts, mobiele betaalgegevens en de laatste vier cijfers van credit- of debetkaarten ingezien. Daarnaast kunnen ook geboortedata, telefoonnummers en adressen zijn buitgemaakt als deze in de accounts waren opgeslagen.

Hoewel Chick-fil-A niet exact heeft aangegeven hoeveel personen hun gegevens zijn kwijtgeraakt, blijkt uit een melding aan verschillende procureurs-generaal dat in totaal 13.322 mensen getroffen zijn. In aparte rapportages aan de procureurs-generaal van Texas en Massachusetts wordt gemeld dat respectievelijk 2.182 Texanen en 39 inwoners van Massachusetts zijn getroffen. Ook bewoners van onder meer het District of Columbia, Iowa, Maryland, New Mexico, New York, North Carolina, Oregon, Vermont en Rhode Island ontvingen meldingen over het datalek.

Als reactie op het incident heeft Chick-fil-A alle getroffen accounts uitgelogd, betaalmethoden verwijderd en de tegoeden op de accounts hersteld. Daarnaast zijn er extra beloningen toegevoegd als compensatie. Omdat de accounts werden gecompromitteerd door het gebruik van gestolen credentials van derden, adviseert Chick-fil-A getroffen klanten dringend hun wachtwoorden te wijzigen. Eerder, tussen december 2022 en februari 2023, werd het bedrijf ook al getroffen door credential stuffing aanvallen waarbij de gegevens van meer dan 71.000 klanten werden gestolen.

Chick-fil-A is een van de grootste fastfoodbedrijven in de Verenigde Staten met meer dan 3.000 vestigingen in de VS, Canada, Puerto Rico, het Verenigd Koninkrijk en Singapore.