Los atacantes utilizaron credenciales robadas para acceder a las cuentas de Chick-fil-A One entre el 17 y el 19 de junio, exponiendo nombres, números parciales de tarjetas y saldos de recompensas.
Chick-fil-A notificó a los clientes que partes no autorizadas accedieron a sus cuentas de fidelización Chick-fil-A One en un ataque de relleno de credenciales que tuvo como objetivo el sitio web y la aplicación móvil de la compañía entre el 17 y el 19 de junio de 2026. La compañía dijo que determinó el 13 de julio que la información de la cuenta del cliente podría haber sido comprometida.
En los ataques de relleno de credenciales, los actores malintencionados despliegan software automatizado para probar credenciales de inicio de sesión, generalmente obtenidas de violaciones de datos anteriores, en cuentas de servicios no relacionados. Chick-fil-A dijo que los atacantes usaron credenciales obtenidas de una fuente externa para infiltrarse en las cuentas.
Según la compañía, los datos que podrían haber sido vistos incluyen los nombres de los clientes, direcciones de correo electrónico, números de membresía y de pago móvil vinculados a sus cuentas Chick-fil-A One, códigos QR, saldos de crédito almacenados y los últimos cuatro dígitos de cualquier tarjeta de pago vinculada. Donde los clientes habían ingresado detalles de perfil opcionales, esos registros, incluidos fechas de nacimiento, números de teléfono y direcciones postales, también podrían haber sido alcanzados, dijo la compañía.
Chick-fil-A no ha revelado el número total de clientes afectados a nivel nacional. Las notificaciones de incumplimiento presentadas ante los fiscales generales del estado indican que al menos 2,182 clientes en Texas y 39 en Massachusetts se vieron afectados, según BleepingComputer. La compañía también envió notificaciones a los residentes de Iowa, el Distrito de Columbia, Maryland, Nuevo México, Nueva York, Carolina del Norte, Oregón, Vermont y Rhode Island.
"Recientemente identificamos un incidente de seguridad que puede haber afectado a un número limitado de cuentas de lealtad Chick-fil-A One," dijo un portavoz de la compañía a Newsweek. "Pedimos disculpas sinceramente por cualquier inconveniente o preocupación que esta situación haya podido causar y seguimos comprometidos a mantener la confianza que nuestros invitados depositan en nosotros cada día."
Los pasos de remediación de Chick-fil-A incluyeron cerrar sesión en todas las cuentas comprometidas, eliminar métodos de pago guardados, reembolsar cualquier saldo de cuenta agotado y forzar restablecimientos de contraseñas. La empresa también agregó recompensas a las cuentas afectadas y dijo que está mejorando sus controles de seguridad y monitoreo. Se insta a los clientes a establecer una nueva contraseña única para sus cuentas de Chick-fil-A.
Esta no es la primera vez que Chick-fil-A enfrenta este tipo de ataque. Un incidente anterior revelado en 2023 demostró que los atacantes habían accedido a más de 71,000 cuentas de Chick-fil-A durante una campaña de varios meses que se extendió desde diciembre de 2022 hasta febrero de 2023, según BleepingComputer. Ese incidente expuso categorías similares de información personal, y la empresa respondió con medidas de seguridad de cuentas comparables en ese momento.
Únete a más de 500.000 lectores que comienzan su día con Quartz.
Al suscribirte, aceptas nuestros Términos de servicio y Política de privacidad.
