Chick-fil-Aは顧客に対し、再利用されたパスワードを使った認証情報スタッフィング攻撃によって顧客のロイヤルティアカウントが侵害されたと通知している。
「今回のChick-fil-Aの侵害は、サイバー犯罪者が銀行や政府だけを標的にするのではなく、消費者がパスワードを再利用している場所ならどこでも狙うことを完璧に示している」と、Huntressのセキュリティオペレーション担当シニアマネージャーであるDray Agha氏は、eSecurityPlanetへのメールで述べた。
Dray氏はさらに、「ファストフードや小売りのアプリは、保存された決済データやロイヤルティ特典が蓄積された、攻撃者にとって価値の高い宝庫だ」と述べた。
Chick-fil-Aのインシデントから得られる主なポイント
- 認証情報スタッフィング攻撃により、ソフトウェアの脆弱性を悪用するのではなく、窃取された認証情報を使ってChick-fil-Aの顧客ロイヤルティアカウントが侵害された。
- 流出した可能性がある情報には、顧客の連絡先、ロイヤルティアカウント情報、決済データ、影響を受けたアカウントに保存されていたその他の個人情報が含まれる。
- 認証情報スタッフィングが依然として主要なアカウント乗っ取り手法であるのは、再利用されたパスワードによって攻撃者が正規ユーザーとして認証できるためだ。
- 強力な認証、ボット検知、継続的なアイデンティティ監視によって、認証情報スタッフィングやアカウント乗っ取り攻撃のリスクを低減できる。
攻撃者はいかにして窃取した認証情報でChick-fil-Aのアカウントにアクセスしたのか
同社の侵害通知によると、自動化された認証情報スタッフィングキャンペーンは、2026年6月にChick-fil-Aのウェブサイトとモバイルアプリを標的にした。
不審なログイン活動を調査したChick-fil-Aは7月、窃取された認証情報でChick-fil-A Oneのアカウントへのログインに成功した不正な第三者が、顧客情報にアクセスした可能性があると判断した。
流出した可能性がある情報には、顧客の氏名、メールアドレス、Chick-fil-A Oneの会員番号、モバイル決済番号、QRコード、アカウントのクレジット残高、決済カードの下4桁が含まれる。
顧客がプロフィールに追加情報を保存していた場合、攻撃者は生年月日、電話番号、郵送先住所にもアクセスした可能性がある。
本稿の公開時点で、Chick-fil-Aは影響を受けた顧客の総数を明らかにしていない。
ただし、複数の州の司法長官への届け出によると、このインシデントはテキサス州の少なくとも2,182人、マサチューセッツ州の39人に影響を及ぼしており、少なくとも他の6州の顧客にも通知書が送付された。
認証情報スタッフィングがアカウント乗っ取りの脅威であり続ける理由
認証情報スタッフィングとは、攻撃者が自動化ツールを使い、大量の窃取済みユーザー名とパスワードの組み合わせをオンラインサービスに対して試すアカウント乗っ取り手法だ。
多くのユーザーが複数のウェブサイトで同じパスワードを使い回しているため、侵害された認証情報1組で、互いに無関係な多数のアカウントにアクセスできてしまうことが多い。
攻撃者は認証に成功すると、正規ユーザーと同じ権限を引き継ぎ、個人情報、保存された決済情報、ロイヤルティ特典、その他のアカウントデータにアクセスできる。
このインシデントは、顧客向けデジタルプラットフォームを保護するには、強力な認証、適切な認証情報管理、継続的な監視が不可欠である理由を浮き彫りにしている。
認証情報スタッフィングとアカウント乗っ取りのリスクを低減する方法
組織が顧客向けデジタルサービスを拡大する中、ユーザーのアイデンティティを保護するには、強力な認証と継続的な監視を組み合わせた多層的なアプローチが必要になる。
- フィッシング耐性のあるMFAまたはパスキーを、可能な限り顧客と従業員のアカウントに必須とする。
- 認証情報の再利用を防ぐため、強固で一意のパスワードを必須とし、パスワードマネージャーを使用し、既知の侵害済み認証情報データベースと照合して新しいパスワードを検査する。
- 自動化されたログイン試行を検知してブロックするために、ボット管理、レート制限、CAPTCHA、適応型認証制御を利用する。
- 通常とは異なるログイン挙動を監視し、見慣れないデバイス、不可能な移動、その他のアカウント侵害の兆候を確認する。
- デバイスフィンガープリントと脅威インテリジェンスを利用して、悪意のある送信元からのリスクの高いログイン試行を特定し、ブロックする。
- 追加の本人確認を必須とし、ユーザーが機密性の高いアカウント情報にアクセスしたり、保存された決済手段を変更したりする前に確認を行う。
- テストするインシデント対応計画ことで、アカウント乗っ取りのシナリオにおける検知、顧客への通知、認証情報の復旧、対応手順を検証する。
これらの対策を総合的に実施することで、組織は認証情報スタッフィング攻撃による全体的なリスクを低減できる。
結論
Chick-fil-Aのインシデントは、アイデンティティを狙う攻撃が、CVEではなく侵害された認証情報に依存することが多いという事実を、改めて思い起こさせる。
顧客向けデジタルサービスが拡大し続ける中、強力な認証、アカウント乗っ取りの検知、継続的なアイデンティティ監視は、ビジネスリスクを低減し、顧客の信頼を守るために不可欠であり続ける。
現代のIT環境全体でアイデンティティが新たなコントロールプレーンへと進化する中、Zero Trustは各セッションを通じてユーザー、デバイス、アクセス要求を継続的に検証することで、組織のリスク低減に貢献する。