Aplikacja Chick-fil-A właśnie została złamana - a lekcja z tego dotyczy niemal każdego twojego konta

Chick-fil-A poinformowało klientów w tym tygodniu, że część ich kont lojalnościowych została złamana. Ciekawa część nie dotyczy samej restauracji - chodzi o to, jak napastnicy się do niej dostali. Nie złamali zabezpieczeń Chick-fil-A. Zalogowali się prawdziwymi nazwami użytkownika i hasłami, korzystając z danych skradzionych z innych stron internetowych i wpisywanych do aplikacji przez boty.

To technika zwana credential stuffing (upychanie danych logowania) i działa wyłącznie dlatego, że tak wielu z nas używa tego samego hasła wszędzie. Między 17 a 19 czerwca zautomatyzowane boty przetestowały miliony skradzionych kombinacji e-mail i hasło na aplikacji Chick-fil-A One. Tam, gdzie hasło się zgadzało, dostali się do środka - a MFA nie było włączone, żeby ich powstrzymać. Firma zaczęła powiadamiać ludzi 22 lipca. To, co zostało ujawnione, różni się w zależności od konta: imiona i nazwiska, adresy e-mail, numery członkostwa i mobilnych płatności, kody QR, saldo kredytowe Chick-fil-A oraz ostatnie cztery cyfry karty. Zgłoszenia stanowe wskazują jak dotąd kilka tysięcy dotkniętych osób, a krajowa liczba nie została ujawniona. To już drugi taki incydent tej sieci w ciągu trzech lat.

Jeśli masz konto Chick-fil-A, ustaw tam nowe hasło - a oto kluczowy krok, który większość ludzi pomija: zrób je takie, którego nie używasz nigdzie indziej, a potem włącz uwierzytelnianie wieloskładnikowe, które aplikacja obsługuje. To samo w sobie zablokowałoby ten atak.

Prawdziwym rozwiązaniem jest przestać używać tych samych haseł na różnych stronach, żeby jeden wyciekły login nie odblokowywał reszty. Kontrola Prywatność i konta w Tendvane pokazuje, które z twoich kont pojawiły się w znanych wyciekach danych, dzięki czemu wiesz dokładnie, które hasła wymienić najpierw.