- Chick-fil-Aは6月17日から19日にかけてクレデンシャルスタッフィング攻撃を受け、数千件のアカウントが侵害されたことを確認
- 流出したデータには氏名、メールアドレス、会員番号、支払い情報、誕生日、住所が含まれる
- 同社はユーザーを強制ログアウトさせ、支払い方法を削除、残高を復元した上で、米国の複数の州に通知
Chick-fil-Aは、顧客の機密情報が流出した懸念すべきサイバーインシデントについて、顧客への通知を行っています。
影響を受けた顧客に送付されているデータ侵害通知書の中で、このファストフード大手は最近「不審なログイン活動」を検知し、これを受けてさらなる調査に乗り出したと説明しています。
その調査の結果、身元不明の脅威アクターが2026年6月17日から6月19日にかけてクレデンシャルスタッフィング攻撃を実行し、不明な件数のアカウントの侵害に成功していたことが判明しました。
全ユーザーを強制ログアウト
クレデンシャルスタッフィング攻撃とは、脅威アクターが自動化システムを使い、あるサービスに対して数千通りのユーザー名とパスワードの組み合わせを試行し、有効なものを割り出す手口です。ログイン認証情報は通常、あらかじめ闇市場で入手されます。
攻撃者がユーザーのアカウントに侵入したことで、その中にあったデータが流出しました。通知書によると、流出したデータには氏名、メールアドレス、Chick-fil-A Oneの会員番号、モバイル決済番号、QRコード、支払いカードの下4桁、Chick-fil-Aクレジットの残高などが含まれます。
「生年月日の月と日、電話番号、住所が含まれていた可能性があります」と同社は付け加えています。
侵入を発見した後、Chick-fil-Aは全ユーザーをアカウントから強制ログアウトさせ、保存されていた支払い方法をすべて削除しました。また、影響を受けた顧客のアカウント残高を復元し、一部のケースでは被害を受けたアカウントに特典を追加しています。
今回の侵害でどれだけの人数が影響を受けたのか正確なところは分かっていませんが、確実に数千人規模に上るとみられます。
BleepingComputerの報道によると、同社はテキサス州司法長官に対し、この侵害がテキサス州住民2182人に影響を及ぼしたと通知しています。同様の通知はアイオワ州、コロンビア特別区、メリーランド州、マサチューセッツ州、ニューメキシコ州、ニューヨーク州、ノースカロライナ州、オレゴン州、バーモント州、ロードアイランド州にも送付されています。
Chick-fil-Aは米国最大級のファストフードチェーンの一つで、米国、カナダ、プエルトリコで3,000店舗以上を展開しています。従業員数は20万人を超え、2025年の年間売上高は約103億ドルに達しました。
