Аккаунты лояльности Chick-fil-A взломаны: что могли украсть хакеры

Если вы недавно заказывали в Chick-fil-A, то к вашему острому куриному сэндвичу могли приложить кое-что ещё — и это не вафли-фри.

Самая популярная в США сеть куриных сэндвичей столкнулась с утечкой данных, затронувшей самых преданных клиентов. На этой неделе компания раскрыла инцидент, сообщив, что в прошлом месяце заметила «подозрительную активность при входе» в некоторые аккаунты программы лояльности Chick-fil-A One.

После расследования выяснилось: хакеры провели автоматизированную атаку на сайт и приложение сети в течение трёх дней в середине июня, используя список email-адресов и паролей, полученных от третьих лиц. Компания предупреждает, что злоумышленники могли получить доступ к данным, хранящимся в аккаунтах программы лояльности: именам, email-адресам, номерам телефонов, датам рождения, адресам и последним четырём цифрам номеров кредитных карт.

«Chick-fil-A серьёзно относится к защите личной информации, — говорится в заявлении компании на её сайте. — Как только мы обнаружили инцидент, мы немедленно приняли меры для защиты аккаунтов клиентов: принудительно вышли из всех сессий и удалили сохранённые способы оплаты. Мы также восстановили балансы бонусных счетов пострадавших клиентов».

Один пароль — ключ ко всем дверям

Метод, использованный при взломе Chick-fil-A, называется credential stuffing (подстановка учётных данных). Хакеры берут большой список украденных комбинаций логинов и паролей и проверяют, к каким ещё аккаунтам они подходят. Поскольку люди часто используют одни и те же пароли, один набор данных может открыть доступ к совершенно разным сервисам — хорошее напоминание не использовать пароль от программы лояльности для мониторинга пенсионного счёта.

Судя по уведомлениям, утечка затронула клиентов Chick-fil-A в Айове, Мэриленде, Массачусетсе, Нью-Мексико, Нью-Йорке, Северной Каролине, Орегоне, Род-Айленде, Вермонте и Вашингтоне (округ Колумбия). Компания рекомендует участникам программы лояльности сменить пароли на уникальные — это помешает хакерам использовать украденные базы для взлома аккаунтов.

Chick-fil-A призывает клиентов регистрироваться в программе лояльности, чтобы заказывать заранее и получать бонусы вроде бесплатных гарниров и десертов. Через приложение участники накапливают баллы за покупки, которые можно обменять на бесплатные позиции. В последние годы такие приложения стали очень популярны в фастфуде: бренды повышают лояльность и собирают данные о клиентах. Сети могут предлагать скидки и спецпредложения тем, кто согласен делиться информацией, — заманчиво в условиях инфляции.

Как и любые данные, которыми мы делимся онлайн, программы лояльности — это компромисс. Chick-fil-A уверяет, что инцидент урегулирован, но в цифровом мире ничто не защищено — даже ваши бонусные баллы за куриные сэндвичи.

«В качестве дополнительной благодарности за лояльность мы начислили вам бонусы на счёт, — говорится в письме компании. — Chick-fil-A продолжает усиливать меры безопасности, мониторинг и защиту от мошенничества, чтобы минимизировать риск повторения подобных инцидентов в будущем».