Bei Chick-fil-A wurde gerade in die App eingebrochen - und die Lehre daraus gilt für fast jedes Konto, das Sie besitzen

Chick-fil-A teilte Kunden diese Woche mit, dass in einige ihrer Treuekonten eingebrochen wurde. Das Interessante daran ist nicht das Restaurant - es ist, wie die Angreifer hineinkamen. Sie haben Chick-fil-As Sicherheit nicht geknackt. Sie meldeten sich mit echten Benutzernamen und Passwörtern an, unter Verwendung von Daten, die von anderen Websites gestohlen und von Bots in die App eingetippt wurden.

Die Technik heißt Credential Stuffing, und sie funktioniert nur, weil so viele von uns überall dasselbe Passwort verwenden. Zwischen dem 17. und 19. Juni testeten automatisierte Bots Millionen gestohlener E-Mail-und-Passwort-Kombinationen an Chick-fil-A One. Wo das Passwort passte, kamen sie hinein - und MFA war nicht eingeschaltet, um sie zu stoppen. Das Unternehmen begann am 22. Juli, Betroffene zu benachrichtigen. Was offengelegt wurde, variiert je nach Konto: Namen, E-Mail-Adressen, Mitgliedschafts- und Mobile-Pay-Nummern, QR-Codes, Ihr Chick-fil-A-Guthaben und die letzten vier Ziffern einer Karte. Behördliche Meldungen listen bisher ein paar Tausend Betroffene, die landesweite Gesamtzahl ist nicht bekannt. Es ist bereits der zweite derartige Vorfall der Kette in drei Jahren.

Haben Sie ein Chick-fil-A-Konto, setzen Sie dort ein neues Passwort - und hier der entscheidende Schritt, den die meisten Menschen auslassen: machen Sie es zu einem, das Sie nirgendwo sonst verwenden, und schalten Sie die Multi-Faktor-Authentifizierung ein, die die App unterstützt. Allein das hätte diesen Angriff verhindert.

Der eigentliche Fix ist, aufzuhören, Passwörter über Seiten hinweg wiederzuverwenden, damit eine geleakte Anmeldung nicht die übrigen aufsperrt. Tendvanes Prüfung für Datenschutz & Konten zeigt, welche Ihrer Konten in bekannten Datenpannen aufgetaucht sind, damit Sie genau wissen, welche Passwörter Sie zuerst ausmustern sollten.