Fried chicken-spesialist Chick-fil-A har varslet kunder om et automatisert credential stuffing-angrep som pågikk i flere måneder, og påvirket mer enn 71,000 XNUMX av kundene, ifølge selskapet.
Credential stuffing-angrep bruker automatisering, ofte gjennom roboter, for å teste mange brukernavn-passordkombinasjoner mot målrettede nettkontoer. Denne typen angrepsvektor er aktivert gjennom vanlig praksis med brukere som gjenbruker det samme passordet på tvers av ulike nettjenester; dermed er påloggingsinformasjonen som brukes i credential stuffing-angrep vanligvis hentet fra andre datainnbrudd og tilbys for salg fra forskjellige Dark Web-kilder.
«Etter en nøye etterforskning, slo vi fast at uautoriserte parter satte i gang et automatisert angrep mot nettstedet og mobilapplikasjonen vår mellom 18. desember 2022 og 12. februar 2023 ved å bruke kontolegitimasjon (f.eks. e-postadresser og passord) hentet fra en tredjepartskilde, " firmaet bemerket i en uttalelse sendt til de berørte.
Den kompromitterte personlige informasjonen inkluderte kunders navn, e-postadresser, medlemsnummer og mobilbetalingsnumre, samt maskerte kreditt- eller debetkortnummer – noe som betyr at uautoriserte parter bare kunne se de fire siste sifrene i betalingskortnummeret. Telefonnumre, adresser og bursdag og måned ble også eksponert for noen kunder.
Chick-fil-A la til at i kjølvannet av angrepene har den fjernet lagrede kreditt- og debetkortbetalingsmetoder, midlertidig frosset midler som tidligere er lastet inn på kundenes Chick-fil-A One-kontoer, og gjenopprettet eventuelle berørte kontosaldoer. Hurtigmatkjeden anbefalte også den beste praksisen at kunder tilbakestiller passordene sine, og bruker et passord som ikke er lett å gjette og unikt for nettstedet.
Noen bemerket at selv om gjenbruk av passord eller bruk av vanlige og svake passord er brukernes feil, har Chick-fil-A fortsatt et visst ansvar.
"Dette er den nye grensen for informasjonssikkerhet: Angripere har ikke fått tilgang til disse brukernes kontoer gjennom feil fra eieren av nettstedet, men snarere på grunn av den naturlige menneskelige tendensen til å gjenbruke brukernavn/passord på tvers av flere nettsteder," sier Uriel Maimon, visepresident for nye produkter hos PerimeterX. "Og til tross for dette har organisasjoner en juridisk og etisk forpliktelse til å beskytte den personlige og økonomiske informasjonen til brukerne deres."
Han legger til, "Dette understreker endringen i paradigme der nettstedseiere ikke bare trenger å beskytte nettstedene sine mot standard nettangrep, men også beskytte informasjonen de har på vegne av brukere. De kan oppnå dette ved å spore atferdsmessige og kriminaltekniske signaler fra brukere som logger på for å skille mellom ekte brukere og angripere.»
Kjeden tilbød noen merkevarer, i tilfelle kunder ønsket å flykte fra coop etter hendelsen: "Som en ekstra måte å si takk for at du er en lojal Chick-fil-A-kunde, har vi lagt til belønninger til kontoen din," uttalelsen fortsatte. "Chick-fil-A fortsetter å forbedre sin sikkerhet, overvåking og svindelkontroller etter behov for å minimere risikoen for lignende hendelser i fremtiden."
Det var rapporterte i januar at Chick-fil-A hadde undersøkt "mistenkelig aktivitet" på tvers av potensielt hackede kundekontoer. Det er uklart hvorfor det tok så lang tid å fastslå at legitimasjonsfyllingen var i gang. Selskapet svarte ikke umiddelbart på en forespørsel om kommentar fra Dark Reading.
Credential Stuffing Attacks on the Rise
Credential stuffing har blitt mer vanlig i det siste, drevet av legionene av legitimasjon for salg på Dark Web. Faktisk dominerer salget av stjålne legitimasjon underjordiske markeder, med mer enn 775 millioner legitimasjon for øyeblikket til salgs ifølge en analyse denne uken.
I januar ble nesten 35,000 XNUMX PayPal-brukerkontoer ofre for en credential-stuffing angrep som avslørte personopplysninger som sannsynligvis vil bli brukt til å underbygge ytterligere oppfølgende angrep. Samme måned, Norton LifeLock varslet kundene til deres potensielle eksponering fra sitt eget credential-stuffing-angrep.
Situasjonen har også ført til en bredere samtale. Med nesten to tredjedeler av folk som gjenbruker passord for å få tilgang til ulike nettsteder, har noen sikkerhetseksperter foreslåtte tilnærminger som fjerner passord helt, inkludert å erstatte dem med sikkerhetsnøkler, biometri og FIDO-teknologi (Fast Identity Online).
- SEO-drevet innhold og PR-distribusjon. Bli forsterket i dag.
- Platoblokkkjede. Web3 Metaverse Intelligence. Kunnskap forsterket. Tilgang her.
- kilde: https://www.darkreading.com/endpoint/chick-fil-a-customers-bone-to-pick-data-breach
- 000
- 2022
- 2023
- 7
- a
- adgang
- Ifølge
- Logg inn
- kontoer
- Oppnå
- tvers
- aktivitet
- la til
- Ytterligere
- adresser
- Legger
- Etter
- mot
- analyse
- og
- Søknad
- hensiktsmessig
- angripe
- Angrep
- Automatisert
- Automatisering
- balanserer
- Bears
- bli
- være
- BEST
- mellom
- biometri
- BleepingComputer
- BEIN
- roboter
- brudd
- CA
- kort
- forsiktig
- saken
- kjede
- endring
- kombinasjoner
- kommentere
- Felles
- Selskapet
- kompromittert
- fortsatte
- fortsetter
- kontroller
- Samtale
- kunne
- KREDENSISJON
- Credentials
- kreditt
- I dag
- kunde
- Kunder
- cyberattacks
- mørk
- Mørk lesning
- mørk Web
- dato
- Databrudd
- debet
- Bankkort
- Desember
- Til tross for
- Bestem
- bestemmes
- gJORDE
- differensiere
- sifre
- Dominere
- emalje
- Emery
- aktivert
- etisk
- Event
- eksperter
- utsatt
- Eksponering
- Failure
- FAST
- Februar
- finansiell
- etter
- etterforskning
- svindel
- fra
- Frontier
- frossen
- frosne midler
- Brensel
- midler
- framtid
- varer
- hacket
- hold
- HTTPS
- menneskelig
- Identitet
- umiddelbart
- in
- hendelse
- inkludert
- Inkludert
- info
- informasjon
- informasjonssikkerhet
- etterforskning
- IT
- Januar
- nøkler
- Siste
- lansert
- Lovlig
- Sannsynlig
- Lang
- lojal
- gjøre
- Markets
- betyr
- medlemskap
- metoder
- millioner
- Mobil
- overvåking
- Måned
- måneder
- mer
- flere
- navn
- Naturlig
- nesten
- Trenger
- Ny
- bemerket
- Antall
- tall
- mange
- innhentet
- tilbudt
- ONE
- på nett
- rekkefølge
- organisasjoner
- Annen
- egen
- eieren
- eiere
- paradigmet
- del
- parter
- Passord
- passord
- Betale
- betaling
- Betalingskort
- betalingsmetoder
- PayPal
- Ansatte
- personlig
- personlig informasjon
- telefon
- plukke
- plato
- Platon Data Intelligence
- PlatonData
- potensiell
- potensielt
- praksis
- president
- tidligere
- Produkter
- beskytte
- heller
- Lesning
- ekte
- anbefales
- fjernet
- anmode
- Svare
- ansvar
- Belønninger
- Risiko
- salg
- samme
- sier
- sikkerhet
- Tjenester
- signaler
- lignende
- Nettsteder
- situasjon
- So
- noen
- kilde
- Kilder
- spesialist
- Standard
- Uttalelse
- Still
- stjålet
- lagret
- stuffing
- mistenkelig
- målrettet
- Teknologi
- test
- De
- informasjonen
- deres
- tredjeparts
- denne uka
- Gjennom
- til
- Sporing
- to tredjedeler
- typisk
- underveis
- unik
- bruke
- Bruker
- Brukere
- ulike
- Vice President
- Offer
- Se
- Wake
- ønsket
- web
- Nettsted
- nettsteder
- uke
- mens
- bredere
- Du
- Din
- zephyrnet