Chick-fil-A meldet Datenleck nach Angriffen auf Kundenkonten

Chick-fil-A informiert Kunden über einen Datenvorfall nach Credential-Stuffing-Angriffen im Juni. Betroffen waren persönliche Daten und Guthaben.

Die US-amerikanische Schnellrestaurant-Kette Chick-fil-A hat mehrere Generalstaatsanwaltschaften sowie betroffene Kunden über einen Sicherheitsvorfall informiert. Zwischen dem 17. und 19. Juni 2026 führten unbefugte Akteure automatisierte Credential-Stuffing-Angriffe auf die Website sowie die mobile Anwendung des Unternehmens durch. Dabei wurden Kombinationen aus E-Mail-Adressen und Passwörtern verwendet, die aus Datenlecks von Drittanbietern stammten. Das Unternehmen beschrieb die Feststellungen in den Benachrichtigungsschreiben folgendermaßen:

„Nach einer sorgfältigen Untersuchung haben wir festgestellt, dass unbefugte Parteien zwischen dem 17. Juni und dem 19. Juni 2026 einen automatisierten Angriff auf unsere Website und unsere mobile Anwendung unter Verwendung von Kontozugangsdaten (z. B. E-Mail-Adressen und Passwörtern) gestartet haben, die aus einer Quelle von Drittanbietern stammten. Basierend auf unserer Untersuchung haben wir am 13. Juli 2026 festgestellt, dass die unbefugten Parteien möglicherweise auf Informationen in Ihrem Chick-fil-A One-Konto zugegriffen haben.“

Chick-fil-A

Betroffene Kundendaten und Kontoinformationen

Im Rahmen des unbefugten Zugriffs auf die Chick-fil-A-One-Konten konnten die Angreifer Einsicht in verschiedene Kundendaten erlangen. Dazu gehören Namen, E-Mail-Adressen, Mitgliedsnummern, Mobilzahlungsnummern, QR-Codes, Kontoguthaben sowie die letzten vier Ziffern von hinterlegten Kredit- oder Debitkarten. Sofern in den Profilen hinterlegt, waren auch Geburtsdaten, Telefonnummern und Wohnadressen einsehbar. Eine genaue Gesamtzahl der betroffenen Nutzer gab das Unternehmen nicht bekannt. Gegenüber der Generalstaatsanwaltschaft von Texas bezifferte Chick-fil-A die Zahl der betroffenen Anwohner in diesem Bundesstaat auf 2.182 Personen.

Maßnahmen des Unternehmens und Empfehlungen für Kunden

Als Reaktion auf den Vorfall meldete das Unternehmen alle betroffenen Konten ab, entfernte hinterlegte Zahlungsmethoden und stellte abgebuchte Guthaben im Treueprogramm wieder her. Betroffenen Nutzern wurde empfohlen, ihre Passwörter zu ändern. Bereits zwischen Dezember 2022 und Februar 2023 war Chick-fil-A Ziel einer ähnlichen Welle von Credential-Stuffing-Angriffen, bei der Konten von über 71.000 Kunden betroffen waren.

(red)