米国のファストフードチェーン、チック・フィレ・A(Chick-fil-A)は、最近発生したクレデンシャルスタッフィング攻撃の連続により、13,000人以上の顧客のデータが盗まれたことを認めました。
BleepingComputerが最初に報じたところによると、同社は複数の司法長官事務所に提出したデータ侵害通知書の中で、6月17日から6月19日にかけて自社のウェブサイトとモバイルアプリを標的とした攻撃を検知したことを明らかにしています。これは、一部のChick-fil-A Oneアカウントへの不審なログイン行動を確認したことがきっかけでした。
チック・フィレ・Aによれば、攻撃者は自動化ツールと「サードパーティのソースから入手した」認証情報を使い、Chick-fil-A Oneアカウントに不正アクセスして顧客データを盗み出したとのことです。
「当社は最近、限られた数のChick-fil-A One Loyaltyアカウントに影響を及ぼした可能性のあるセキュリティインシデントを確認しました。問題発覚後、直ちに対処し、アカウントの安全確保と復旧を行い、影響を受けた可能性のあるすべてのお客様に直接ご連絡しています」と同社はBleepingComputerに説明しています。
この攻撃により、脅威アクターは顧客の氏名、メールアドレス、Chick-fil-A Oneのメンバーシップ番号、Chick-fil-Aクレジットの残高、モバイル決済番号、クレジットカード/デビットカード番号の下4桁といった情報の組み合わせにアクセスしました。さらに、侵害されたアカウントに生年月日、電話番号、住所が保存されていた場合は、それらの情報にもアクセスされた可能性があります。
影響を受けた個人の総数について同社は明らかにしていませんが、チック・フィレ・Aがメイン州司法長官事務所を通じてBleepingComputerに水曜日に共有した届出書類によれば、今回のデータ侵害による影響人数は合計13,322人に上るとされています。
別の届出書類では、テキサス州司法長官事務所に対し、今回のデータ侵害がテキサス州民2182人に影響していると報告しているほか、マサチューセッツ州司法長官事務所には住民39人に影響していると伝えています。チック・フィレ・Aはこのほか、コロンビア特別区、アイオワ州、メリーランド州、ニューメキシコ州、ニューヨーク州、ノースカロライナ州、オレゴン州、バーモント州、ロードアイランド州の住民にもデータ侵害通知書を送付しています。
今回のインシデントを受け、チック・フィレ・Aは影響を受けたすべてのアカウントを強制ログアウトさせ、支払い方法を削除し、影響を受けたChick-fil-A Oneアカウントの残高をすべて復元したほか、お詫びとして対象アカウントに特典を追加したとしています。今回のアカウント侵害はサードパーティサービスから盗まれた認証情報が使い回されたことが原因だったため、チック・フィレ・Aは影響を受けた顧客に対し、できるだけ早くパスワードを変更するよう呼びかけています。
攻撃者より先に、すべてのレイヤーをテストする
セキュリティチームが検知できている成功攻撃はわずか54%、アラートが上がるのはたった14%に過ぎません。残りは環境内を気づかれないまま通り抜けています。
Picusのホワイトペーパーでは、breach and attack simulation(侵害・攻撃シミュレーション)がSIEMやEDRのルールをどのようにテストし、検知をすり抜ける脅威を防ぐかを解説しています。
