Chick-fil-A-Datenpanne nach Credential-Stuffing-Angriffen

Chick-fil-A hat eine Datenpanne bekannt gegeben, nachdem Angreifer mithilfe von Credential Stuffing auf Kundenkonten zugegriffen hatten. Das Unternehmen entdeckte verdächtige Anmeldeaktivitäten bei bestimmten Chick-fil-A-One-Konten.

Die Angriffe richteten sich zwischen dem 17. und 19. Juni 2026 gegen die Website und die mobile App der Restaurantkette. Am 13. Juli kam Chick-fil-A zu dem Schluss, dass Unbefugte möglicherweise auf Kundendaten zugegriffen haben.

Das Unternehmen hat die Gesamtzahl der betroffenen Konten bislang nicht veröffentlicht. Es bestätigte jedoch, dass der Vorfall 2.182 Personen im US-Bundesstaat Texas betraf.

Gestohlene Zugangsdaten ermöglichten den Kontozugriff

Credential-Stuffing-Angriffe basieren auf Benutzernamen und Passwörtern, die bei anderen Datenpannen gestohlen wurden. Cyberkriminelle nutzen automatisierte Werkzeuge, um diese Zugangsdaten auf zahlreichen Websites und Apps auszuprobieren.

Die Methode ist erfolgreich, wenn Nutzer dieselben Passwörter für mehrere Dienste verwenden. Gelingt der Zugriff, können Angreifer persönliche Daten, Zahlungsinformationen, Bonusguthaben und weitere im Konto gespeicherte Informationen einsehen.

Chick-fil-A erklärte, dass die Angreifer Zugangsdaten verwendet hätten, die von einem Drittanbieter stammten. Wo diese ursprünglich kompromittiert wurden, teilte das Unternehmen nicht mit.

Kunden- und Zahlungsdaten könnten offengelegt worden sein

Die Datenpanne bei Chick-fil-A könnte verschiedene Arten von Kontoinformationen offengelegt haben. Dazu gehören Namen, E-Mail-Adressen, Mitgliedsnummern und mobile Zahlungskennungen.

Angreifer könnten außerdem auf QR-Codes, Bonusguthaben sowie die letzten vier Ziffern von Debit- oder Kreditkarten zugegriffen haben. In einigen Fällen könnten die Konten auch Geburtsdaten, Telefonnummern und Wohnadressen enthalten haben.

Das Unternehmen hat Benachrichtigungsschreiben an Betroffene in mehreren US-Bundesstaaten sowie im District of Columbia versandt. Die endgültige Zahl der betroffenen Kunden wurde bislang nicht bestätigt.

Unternehmen setzte betroffene Konten zurück

Chick-fil-A meldete alle betroffenen Konten ab. Darüber hinaus entfernte das Unternehmen gespeicherte Zahlungsmethoden, um das Risiko weiterer unbefugter Transaktionen zu verringern.

Zusätzlich stellte das Unternehmen die Bonusguthaben der betroffenen Kunden wieder her. Als Entschuldigung erhielten die betroffenen Konten außerdem zusätzliche Bonuspunkte.

Chick-fil-A forderte alle betroffenen Kunden auf, ihre Passwörter umgehend zu ändern. Nutzer sollten außerdem vermeiden, dasselbe Passwort für verschiedene Dienste zu verwenden.

Ein Passwort-Manager kann dabei helfen, für jedes Konto ein individuelles Passwort zu erstellen. Wo verfügbar, bietet zudem die Multi-Faktor-Authentifizierung (MFA) eine zusätzliche Sicherheitsebene.

Frühere Credential-Stuffing-Angriffe

Dies ist nicht der erste Credential-Stuffing-Vorfall bei der Restaurantkette. Bereits 2023 bestätigte Chick-fil-A, dass Angreifer auf personenbezogene Daten zugegriffen und gespeicherte Bonusguthaben von mehr als 71.000 Konten missbraucht hatten.

Der frühere Vorfall ereignete sich zwischen Dezember 2022 und Februar 2023. Der aktuelle Angriff zeigt erneut, wie gefährlich die Wiederverwendung von Passwörtern für Kundenkonten sein kann.

Fazit

Die Datenpanne bei Chick-fil-A verdeutlicht die anhaltende Bedrohung durch Credential-Stuffing-Angriffe. Kunden sollten wiederverwendete Passwörter ändern, ihre Zahlungsaktivitäten überwachen und ihre Konten sowie Bonusprogramme regelmäßig auf verdächtige Aktivitäten überprüfen.