La chaîne de restauration rapide Chick-fil-A met en garde ses clients après qu'un piratage de comptes de fidélité a été perpétré à l'aide de mots de passe volés, lors d'une attaque par bourrage d'identifiants.
Chick-fil-A a déclaré avoir détecté une activité de connexion suspecte sur certains comptes Chick-fil-A One en juin et avoir lancé une enquête. L'entreprise a conclu par la suite qu'entre le 17 et le 19 juin 2026, des personnes non autorisées avaient mené une attaque par bourrage d'identifiants automatisée contre son site web et son application mobile, en utilisant des noms d'utilisateur et des mots de passe obtenus lors de précédentes fuites de données ou auprès d'autres sources tierces. Chick-fil-A a indiqué avoir réinitialisé les mots de passe et suspendu les sessions actives des comptes concernés pendant la durée de l'enquête.
Le credential stuffing est une attaque où des criminels utilisent des paires nom d'utilisateur/mot de passe volées sur un service et les testent automatiquement sur de nombreux autres sites web et applications pour vérifier leur validité. Comme beaucoup d'utilisateurs réutilisent leurs mots de passe, les attaquants accèdent souvent aux comptes sans jamais pénétrer les systèmes de l'entreprise de manière traditionnelle.
On pourrait donc en conclure qu'il y a deux aspects à considérer. D'une part, les clients qui réutilisent leurs mots de passe sur plusieurs sites augmentent considérablement les chances de succès des attaques par bourrage d'identifiants. D'autre part, les entreprises ont également la responsabilité de mettre en place des protections permettant de détecter et de bloquer les attaques automatisées par bourrage d'identifiants avant que les comptes ne soient compromis.
Comment ça fonctionne
Pour comprendre son fonctionnement, nous avons créé un scénario typique :
- Les cybercriminels obtiennent de longues listes d'identifiants compromis lors de précédentes fuites de données, sur les marchés du dark web ou via des fuites publiques.
- Ils utilisent des outils automatisés pour transmettre ces identifiants aux points de connexion de services populaires tels que les détaillants, les banques et les programmes de fidélité.
- Ils s'emparent des comptes dont les identifiants fonctionnent encore, puis détournent les fonds stockés, les données personnelles ou les récompenses de fidélité, ou revendent l'accès à d'autres criminels.
Pour une victime, cela peut ressembler à une violation de données au sein de l'entreprise, mais techniquement parlant, les cybercriminels possédaient déjà les identifiants et ont pu enrichir leur base de données avec des informations supplémentaires sur les victimes.
Que savent les cybercriminels à votre sujet ?
Utiliser Malwarebytes « Analyse gratuite de votre empreinte numérique pour vérifier si vos informations personnelles ont été exposées en ligne. »
D'après les notifications de violation de données de Chick-fil-A , les attaquants auraient pu accéder à une combinaison de :
- Nom et adresse courriel.
- Numéro de membre Chick-fil-A One et numéro de paiement mobile.
- Codes QR associés au compte.
- Le solde de tout crédit Chick-fil-A, tel que les cartes-cadeaux ou les récompenses sur le compte.
- Les quatre derniers chiffres du numéro de carte de crédit ou de débit enregistré.
Si vous avez enregistré davantage de détails dans votre compte Chick-fil-A One, les pirates ont peut-être également pu voir :
- Date de naissance (mois et jour).
- Numéro de téléphone.
- Adresse physique.
Conseils aux clients de Chick-fil-A
Le véritable problème, c'est qu'au fil des ans, nous avons conçu et adopté un système qui ne convient plus à la plupart des gens : les mots de passe. Nous leur conseillons de ne pas les réutiliser et d'utiliser un gestionnaire de mots de passe pour conserver des mots de passe uniques pour chaque compte. Mais pour beaucoup, les gestionnaires de mots de passe restent complexes ou peu fiables. Je crains que la même chose ne se produise avec les clés d'accès .
Si vous avez ou pensez avoir eu un compte Chick-fil-A One, vous devriez agir même si vous n'avez pas reçu de lettre.
- Créez un nouveau mot de passe unique pour votre compte Chick-fil-A One, que vous n'utiliserez nulle part ailleurs. Si vous avez utilisé le même mot de passe sur d'autres comptes, modifiez-le également.
- Si vous ne pouvez pas vous connecter parce que votre compte a été verrouillé ou réinitialisé, suivez la procédure de récupération de Chick-fil-A .
- Activez l'authentification multifacteurs (AMF) si ce n'est pas déjà fait. Chick-fil-A prend en charge l'AMF pour les comptes Chick-fil-A One via un numéro de téléphone mobile vérifié.
- Sachez que les attaquants peuvent utiliser les données exposées pour concevoir des messages d'hameçonnage et des escroqueries plus convaincants.
Quelque chose vous semble étrange ? Vérifiez avant de cliquer.
Malwarebytes Scam Guard vous aide à analyser instantanément les liens, les textes et les captures d'écran suspects.
Disponible avec Malwarebytes Premium Security pour tous vos appareils, et dans l' application Malwarebytes pour iOS et Android .
