米国のファストフードチェーン、Chick-fil-Aは、顧客のオンラインアカウントを狙ったクレデンシャルスタッフィング攻撃に起因するデータ侵害を公表しました。
被害者に送付された通知によると、今回の攻撃はChick-fil-A Oneロイヤルティ・リワードプログラムのアカウントを標的にしていました。
攻撃者は6月17日から19日にかけて、Chick-fil-Aのモバイルアプリとウェブサイトに対してクレデンシャルスタッフィング攻撃を実行しました。使用された認証情報は、他社でのデータ侵害、フィッシングキャンペーン、インフォスティーラーマルウェアによって収集されたデータなど、第三者の情報源から入手したものだったとみられます。
7月13日、同社は攻撃者が侵害されたアカウントに保存されていたデータを取得した可能性があると判断しました。
流出したデータには、氏名、メールアドレス、Chick-fil-Aの会員番号とモバイル決済番号、クレジットカード番号の一部、アカウント残高、さらに一部のケースでは電話番号、住所、生年月日が含まれる可能性があります。
影響を受けたアカウントは強制的にログアウトされ、パスワードがリセットされたほか、登録されていた決済方法も削除されました。攻撃者に残高を奪われたアカウントについては、残高が復元され、追加のリワードも付与されています。
影響を受けた人数は明らかになっていませんが、テキサス州とマサチューセッツ州の司法長官に提出された件数から見ると、数千人から数万人規模に上る可能性があります。
SecurityWeekはChick-fil-Aに対し、影響を受けた人数について問い合わせを行っており、同社から回答があり次第この記事を更新する予定です。
Chick-fil-Aは3,000店舗以上を展開し、20万人を超える従業員を抱えています。
クレデンシャルスタッフィング攻撃は、サイバー犯罪者にとって非常に大きな利益をもたらすことがあります。2022年に発生したDraftKingsへの攻撃では、3人のハッカーが数十万ドルもの利益を得ました。しかし、彼らは全員身元が特定され、禁錮刑を言い渡されています。
翻訳元: https://www.securityweek.com/chick-fil-a-accounts-get-fried-in-credential-stuffing-attack/
