Chick-fil-Aは、Chick-fil-A Oneロイヤルティアカウントに対してクレデンシャルスタッフィング攻撃による不正アクセスがあり、対象ユーザーの個人情報とアカウント内に保存されていたクレジット残高が流出したことを顧客に通知しました。
Chick-fil-Aは一部のChick-fil-A Oneアカウントで不審なログイン活動を検知し、調査を開始しました。その結果、攻撃者が2026年6月17日から6月19日にかけて、同社のウェブサイトおよびモバイルアプリに対して自動化されたクレデンシャルスタッフィングキャンペーンを実行していたことが最終的に判明しました。
攻撃者は、Chick-fil-A自社システムへの直接的な侵害によってではなく、第三者から入手したメールアドレスやパスワードを含むアカウント認証情報を使用していました。
2026年7月13日、同社は不正アクセスを受けたChick-fil-A Oneアカウント内に保存されていた情報に、不正な第三者がアクセスした可能性があることを確認しました。
クレデンシャルスタッフィングは、Chick-fil-A固有の脆弱性ではなく、無関係な過去の情報漏えいで流出したユーザー名とパスワードの組み合わせを悪用し、サービス間でのパスワード使い回しを突く手口です。
同ロイヤルティプログラムが標的にされたのはこれが初めてではありません。2023年初頭にも同様の攻撃が発生し、71,000件を超えるアカウントが侵害され、当時のChick-fil-A One会員の2%未満が影響を受けました。
マサチューセッツ州司法長官に提出された侵害通知書には、Chick-fil-A Oneアカウントに紐づく、侵害された可能性のある幅広いデータ項目が詳細に記載されています。
Chick-fil-Aは全米での影響を受けた顧客の総数を公表していませんが、各州への規制当局向け届出からは被害の一端がうかがえます。
テキサス州だけでも2,182人の住民が影響を受けたと報告されており、アイオワ州、メリーランド州、マサチューセッツ州、ニューメキシコ州、ニューヨーク州、ノースカロライナ州、オレゴン州、ロードアイランド州、バーモント州、ワシントンD.C.の顧客にも通知書が送付されました。
侵入を確認したChick-fil-Aは、影響を受けたアカウントを強制的にログアウトさせ、保存されていた支払い方法を削除するとともに、減少していたChick-fil-A Oneの残高をインシデント発生前の状態に復元しました。
同社は影響を受けたユーザーのパスワードもリセットし、誠意の証としてリワードクレジットを追加で付与しました。Chick-fil-Aは、今後同様のインシデントが発生する可能性を減らすため「セキュリティ、監視、不正防止対策の強化を継続している」と述べています。
通知書では、Chick-fil-Aがすでに自動的に実施した対応に加えて、影響を受けたユーザーが取るべきいくつかの予防策を促しています。
他のサイトで使い回していない、強固で固有のパスワードに直ちに変更する。アカウントで利用可能であれば多要素認証を有効にする。連携している支払いカードや金融機関の明細を確認し、不正な取引がないか監視する
なりすまし被害が疑われる場合は主要な信用情報機関に不正利用警告を登録し、不審なアカウント活動はChick-fil-Aのサポート窓口または地元の法執行機関に通報する
今回のインシデントは、クイックサービスレストランのロイヤルティプラットフォームに根強く見られる傾向を改めて浮き彫りにしています。保存されている支払いクレジットやポイントはアカウントを魅力的な標的にし、プラットフォーム自体の脆弱性ではなく、パスワードの使い回しを悪用するクレデンシャルスタッフィング攻撃を招きやすいのです。
SOC調査の死角を解消し、ANY.RUNで脅威をより早期に封じ込めることで、対応コストと業務への影響を軽減しましょう。
翻訳元: https://cyberpress.org/chick-fil-a-data-breach-exposed/
