L'app di Chick-fil-A è appena stata violata - e la lezione vale per quasi ogni account che possiedi

Chick-fil-A ha comunicato questa settimana ai clienti che alcuni dei loro account fedeltà sono stati violati. La parte interessante non è il ristorante - è come gli aggressori sono entrati. Non hanno violato la sicurezza di Chick-fil-A. Hanno effettuato l'accesso con nomi utente e password reali, usando dati rubati da altri siti web e digitati nell'app da bot.

È una tecnica chiamata credential stuffing, e funziona solo perché in tanti riutilizziamo la stessa password ovunque. Tra il 17 e il 19 giugno, dei bot automatizzati hanno provato milioni di combinazioni rubate di email e password contro Chick-fil-A One. Dove la password corrispondeva, sono entrati - e l'autenticazione a più fattori non era attiva per fermarli. L'azienda ha iniziato a notificare le persone il 22 luglio. Ciò che è stato esposto varia da account ad account: nomi, indirizzi email, numeri di iscrizione e di pagamento mobile, codici QR, il saldo di credito Chick-fil-A e le ultime quattro cifre di una carta. Le dichiarazioni statali finora elencano qualche migliaio di persone coinvolte, con il totale nazionale non reso noto. È il secondo incidente di questo tipo per la catena in tre anni.

Se hai un account Chick-fil-A, imposta lì una nuova password - ed ecco la mossa chiave che la maggior parte delle persone salta: fai in modo che sia una password che non usi da nessun'altra parte, poi attiva l'autenticazione a più fattori, che l'app supporta. Questo da solo avrebbe bloccato sul nascere questo attacco.

La vera soluzione è smettere di riutilizzare le password tra i vari siti, così che un accesso trapelato non possa sbloccare tutti gli altri. Il controllo Privacy e account di Tendvane ti dice quali dei tuoi account sono comparsi in violazioni note, così sai esattamente quali password eliminare per prime.