L'application de Chick-fil-A vient de se faire pirater - et la leçon s'applique à presque tous les comptes que vous possédez
Chick-fil-A a annoncé cette semaine à ses clients que certains de leurs comptes de fidélité avaient été compromis. Ce qui est intéressant, ce n'est pas le restaurant, c'est la façon dont les attaquants s'y sont pris. Ils n'ont pas percé la sécurité de Chick-fil-A. Ils se sont connectés avec de vrais identifiants et mots de passe, obtenus grâce à des données volées sur d'autres sites web et saisies dans l'application par des robots.
Cette technique s'appelle le credential stuffing (bourrage d'identifiants), et elle ne fonctionne que parce que tant d'entre nous réutilisent le même mot de passe partout. Entre le 17 et le 19 juin, des robots automatisés ont testé des millions de combinaisons e-mail-mot de passe volées sur Chick-fil-A One. Là où le mot de passe correspondait, ils sont entrés - et l'authentification multifacteur n'était pas activée pour les en empêcher. L'entreprise a commencé à prévenir les personnes concernées le 22 juillet. Ce qui a été exposé varie selon le compte : noms, adresses e-mail, numéros de membre et de paiement mobile, codes QR, solde de crédit Chick-fil-A, et les quatre derniers chiffres d'une carte. Les déclarations faites aux États jusqu'ici recensent quelques milliers de personnes concernées, le total national n'étant pas divulgué. C'est le deuxième incident de ce genre pour la chaîne en trois ans.
Si vous avez un compte Chick-fil-A, définissez-y un nouveau mot de passe - et voici le geste clé que la plupart des gens sautent : faites-en un que vous n'utilisez nulle part ailleurs, puis activez l'authentification multifacteur, prise en charge par l'application. Cela seul aurait suffi à bloquer complètement cette attaque.
La vraie solution consiste à arrêter de réutiliser les mots de passe d'un site à l'autre, pour qu'un identifiant qui fuite ne déverrouille pas tout le reste. Le contrôle Confidentialité et comptes de Tendvane indique lesquels de vos comptes sont apparus dans des fuites connues, afin que vous sachiez exactement quels mots de passe changer en priorité.