Chick-fil-A、クレデンシャルスタッフィング攻撃を受けデータ侵害を公表

米国のファストフードチェーン、Chick-fil-Aは、一連のクレデンシャルスタッフィング攻撃によって顧客アカウントが不正アクセスを受けたとして、対象となった顧客に対しデータ侵害の通知を行っています。対象となった顧客数は公表されていません。

Chick-fil-Aは米国で第3位の規模を誇るクイックサービスレストランチェーンを自称しており、米国、カナダ、プエルトリコ、英国、シンガポールで3,000店舗以上のレストランとケータリングサービスを展開しています。

同社が影響を受けた個人に送付し、複数州の司法長官事務所にも提出したデータ侵害通知書によると、Chick-fil-A Oneアカウントへの不審なログイン活動を検知したことで、今回の攻撃が発覚したとしています。

Chick-fil-Aがこのインシデントを調査する中で判明したところによると、攻撃者は6月にChick-fil-Aのウェブサイトとモバイルアプリを標的にしていました。

「詳細な調査の結果、第三者から入手したアカウント認証情報(メールアドレスやパスワードなど)を用いて、2026年6月17日から6月19日にかけて、当社のウェブサイトおよびモバイルアプリケーションに対する自動化攻撃が何者かによって仕掛けられたことを確認しました」と同社は述べています。「調査の結果、2026年7月13日、この不正な第三者がお客様のChick-fil-A Oneアカウント内の情報にアクセスした可能性があると判断しました」

今回の侵害で流出した情報は、顧客の氏名、メールアドレス、Chick-fil-A One会員番号とモバイル決済番号、QRコード、保有するChick-fil-Aクレジットの金額、クレジットカード/デビットカード番号の下4桁などの組み合わせです。さらに、侵害されたアカウントに生年月日、電話番号、住所が保存されていた場合は、それらの情報にもアクセスされた可能性があります。

Chick-fil-Aは6月のクレデンシャルスタッフィング攻撃で何人の顧客アカウントが侵害されたかを明らかにしていませんが、同社はテキサス州司法長官に対し、今回のデータ侵害が2182人のテキサス州民に影響していると報告しています。Chick-fil-Aはまた、アイオワ州、コロンビア特別区、メリーランド州、マサチューセッツ州、ニューメキシコ州、ニューヨーク州、ノースカロライナ州、オレゴン州、バーモント州、ロードアイランド州の住民にもデータ侵害の通知書を送付しました。

クレデンシャルスタッフィングとは、攻撃者が自動化ツールを用いて盗まれたユーザー名とパスワードの組み合わせでアカウントに侵入する手口で、複数のプラットフォームで同じ認証情報を使い回している場合に特に有効な手法です。最終的な目的は、アカウントを乗っ取った後に個人情報や金融情報を盗み出すことで、盗まれた情報はその後、他のサイバー犯罪者に売却されたり、なりすましやその他の悪意ある目的に利用されたりします。

このインシデントを受け、Chick-fil-Aは影響を受けたすべてのアカウントを強制ログアウトし、登録されていた決済手段を削除、Chick-fil-A Oneアカウントの残高を復元したほか、謝罪の意味を込めて対象アカウントに特典を追加しました。アカウントは盗まれた認証情報を使って侵害されたため、同社は影響を受けたユーザーに対し、できるだけ早くパスワードを変更するよう呼びかけています。

BleepingComputerが火曜日、今回の攻撃で何件の顧客アカウントが侵害されたのかについてChick-fil-Aの広報担当者にコメントを求めたところ、担当者からは即座に回答を得られませんでした。