Han entrado en la aplicación de Chick-fil-A - y la lección aplica a casi todas las cuentas que tienes

Chick-fil-A avisó esta semana a sus clientes de que algunas de sus cuentas de fidelización habían sido vulneradas. Lo interesante no es la cadena de restaurantes, sino cómo entraron los atacantes. No rompieron la seguridad de Chick-fil-A. Iniciaron sesión con nombres de usuario y contraseñas reales, usando datos robados de otras webs e introducidos en la aplicación mediante bots.

Es una técnica llamada relleno de credenciales (credential stuffing), y solo funciona porque muchos reutilizamos la misma contraseña en todas partes. Entre el 17 y el 19 de junio, bots automatizados probaron millones de combinaciones robadas de correo y contraseña contra Chick-fil-A One. Donde la contraseña coincidía, entraban, y no había verificación en dos pasos activada para detenerlos. La empresa empezó a notificar a los afectados el 22 de julio. Lo expuesto varía según la cuenta: nombres, direcciones de correo, números de socio y de pago móvil, códigos QR, tu saldo de crédito de Chick-fil-A y los últimos cuatro dígitos de una tarjeta. Los registros presentados ante organismos estatales hasta ahora mencionan unos pocos miles de afectados, sin que se haya revelado la cifra total a nivel nacional. Es el segundo incidente de este tipo en la cadena en tres años.

Si tienes una cuenta de Chick-fil-A, cambia ahí la contraseña, y aquí está el paso clave que la mayoría se salta: que sea una que no uses en ningún otro sitio, y activa después la autenticación multifactor, que la aplicación admite. Solo con eso se habría frenado en seco este ataque.

La solución de fondo es dejar de reutilizar contraseñas entre sitios, para que una credencial filtrada no sirva de llave maestra para el resto. La comprobación de privacidad y cuentas de Tendvane te dice cuáles de tus cuentas han aparecido en filtraciones conocidas, así sabes exactamente qué contraseñas retirar primero.