چیک‌فیل‌ای بعد از حمله credential stuffing نشت داده رو تأیید کرد
خلاصهٔ کامل‌تر
چیک‌فیل‌ای، سومین زنجیره بزرگ فست‌فود آمریکا با بیش از ۳۰۰۰ شعبه، تو نامه‌های اطلاع‌رسانی نشت داده که برای مشتری‌ها و چند دادستان کل ایالتی فرستاده، گفته فعالیت ورود مشکوک به بعضی حساب‌های Chick-fil-A One رو شناسایی کرده. به نوشته این شرکت، بین ۱۷ تا ۱۹ ژوئن ۲۰۲۶ یه حمله خودکار سایت و اپ موبایلش رو هدف گرفته و مهاجم‌ها از ایمیل و رمزهایی استفاده کردن که از یه منبع ثالث گیر آورده بودن.
این دقیقاً الگوی credential stuffingه: مهاجم با ابزار خودکار جفت‌های نام‌کاربری/رمز دزدیده‌شده رو روی سرویس‌های مختلف امتحان می‌کنه و هر جا کاربر رمزشو تکرار کرده باشه، در باز میشه. یعنی خودِ سرویس هک نشده؛ رمزی که کاربر جای دیگه لو داده، اینجا کار کرده.
داده‌هایی که ممکنه دیده شده باشه شامل اسم، ایمیل، شماره عضویت Chick-fil-A One، شماره پرداخت موبایلی، QR کد، مقدار اعتبار حساب و چهار رقم آخر کارت اعتباری/دبیت‌ه. اگه کاربر تاریخ تولد، شماره تماس یا آدرسش رو هم تو حساب ذخیره کرده بوده، اونا هم در معرض بودن. شرکت تعداد کل قربانی‌ها رو اعلام نکرده، ولی به دادستان تگزاس گفته ۲۱۸۲ نفر و به ماساچوست ۳۹ نفر از ساکنانشون درگیر شدن.
واکنش شرکت این بوده که همه حساب‌های متأثر رو خارج کرده، روش‌های پرداخت رو حذف کرده، موجودی حساب‌ها رو برگردونده و به‌عنوان عذرخواهی امتیاز اضافه کرده؛ ضمن اینکه از کاربرها خواسته سریع رمزشون رو عوض کنن. این اولین بار نیست: مارس ۲۰۲۳ هم همین شرکت تأیید کرده بود که تو یه موج مشابه بین دسامبر ۲۰۲۲ تا فوریه ۲۰۲۳، حساب بیش از ۷۱ هزار مشتری هک شده.
نکات کلیدی:
- حمله خودکار بین ۱۷ تا ۱۹ ژوئن ۲۰۲۶ روی سایت و اپ موبایل
- رمزها از یه منبع ثالث اومده بود، نه از نفوذ مستقیم به چیک‌فیل‌ای
- داده‌های در معرض: اسم، ایمیل، شماره عضویت، QR، اعتبار حساب، چهار رقم آخر کارت
- ۲۱۸۲ نفر در تگزاس و ۳۹ نفر در ماساچوست، تعداد کل اعلام نشده
- سابقه مشابه در ۲۰۲۲–۲۰۲۳ با بیش از ۷۱ هزار حساب
