Amerikan fast food zinciri Chick-fil-A, müşterilerin hesaplarının aylarca süren bir kimlik bilgisi doldurma saldırısında ihlal edildiğini ve tehdit aktörlerinin depolanan ödül bakiyelerini kullanmasına ve kişisel bilgilere erişmesine olanak tanıdığını doğruladı.
Ocak ayında BleepingComputer, Chick-fil-A’nın müşterilerin hesaplarında “şüpheli etkinlik” olarak tanımladığı şeyi araştırmaya başladığını bildirdi.
O sırada Chick-fil-A, müşterilerin hesaplarında şüpheli etkinlik tespit etmeleri durumunda ne yapmaları gerektiğine ilişkin bilgilerin yer aldığı bir destek sayfası oluşturmuştu.
Bu uyarı, BleepingComputer’ın Noel’den önce Chick-fil-A kullanıcı hesaplarının kimlik bilgisi doldurma saldırılarında çalınıp çevrimiçi satıldığına dair raporlar hakkında Chick-fil-A’ya e-posta göndermesinden sonra geldi.
Bu hesaplar, ödül hesabı bakiyesine ve bağlantılı ödeme yöntemlerine bağlı olarak 2 ila 200 ABD Doları arasında değişen fiyatlara satıldı.
BleepingComputer tarafından görülen bir Telegram kanalı, insanların bu hesapları satın aldığını ve daha sonra bu hesaplar üzerinden yaptıkları alışverişlerin resimlerini paylaştığını gösteriyordu.
Kaynak: BleepingComputer
Chick-fil-A, kimlik bilgisi doldurma saldırısını doğruladı
Bugün Chick-fil-A, 18 Aralık 2022 ile 12 Şubat 2023 arasında bir kimlik bilgileri doldurma saldırısına maruz kaldıklarını belirten Kaliforniya Başsavcılığına gönderilen bir güvenlik bildiriminde haberimizi doğruladı.
“Dikkatli bir araştırmanın ardından, yetkisiz kişilerin, üçüncü taraf bir kaynaktan elde edilen hesap kimlik bilgilerini (örn.
Araştırmamıza dayanarak, 12 Şubat 2023’te yetkisiz kişilerin daha sonra Chick-fil-A One hesabınızdaki bilgilere eriştiğini belirledik.” – Chick-fil-A bildirimi.
Fast food zinciri, etkilenen müşterileri, hesaplarına erişen tehdit aktörlerinin adları, e-posta adresleri, Chick-fil-A One üyelik numaraları ve mobil ödeme numaraları, QR kodu, maskelenmiş kredi dahil olmak üzere kişisel bilgilerine de erişebilecekleri konusunda uyarıyor. /banka kartı numarası ve (varsa) hesabınızdaki Chick-fil-A kredi tutarı (örn. e-hediye kartı bakiyesi).
Bazı müşteriler için bilgiler doğum günlerini, telefon numaralarını, fiziksel adresleri ve kredi kartlarının son dört hanesini içeriyor olabilir.
Saldırıya yanıt olarak Chick-fil-A, müşterileri parolalarını sıfırlamaya zorladı, hesaplara yüklenen fonları dondurdu ve saklanan tüm ödeme bilgilerini hesaplardan kaldırdı.
Chick-fil-A ayrıca Chick-fil-A One hesap bakiyelerini geri yüklediklerini ve etkilenen hesaplara özür dilemenin bir yolu olarak ödüller eklediklerini belirtiyor.
Hesaplar, diğer veri ihlallerinde açığa çıkan kimlik bilgileri kullanılarak ihlal edildiğinden, etkilenen kullanıcılar, özellikle aynı Chick-fil-A şifresini kullanıyorlarsa, sık gittikleri tüm sitelerde şifrelerini değiştirmelidir.
Parolaları sıfırlarken, her site için benzersiz bir parola kullanın ve kolayca yönetilebilmeleri için bunları Bitwarden gibi bir parola yöneticisinde saklayın.
Kişisel bilgilerin kötüye kullanıldığına dair bir kanıt bulunmamakla birlikte, etkilenen müşteriler, bu bilgileri kullanan potansiyel olarak hedeflenmiş kimlik avı e-postalarına da dikkat etmelidir.