Chick-fil-A gehackt: Credential-Stuffing-Attacke kompromittiert Kundendaten

Ein Cyberangriff auf das Treueprogramm Chick-fil-A One hat persönliche Daten und Guthabenstände von Kunden kompromittiert. Die Täter nutzten gestohlene Zugangsdaten aus anderen Datenlecks.

Die Sicherheitsverletzung ereignete sich zwischen dem 17. und 19. Juni 2026. Nach Angaben des Unternehmens drangen die Angreifer nicht direkt in die internen Systeme von Chick-fil-A ein. Stattdessen verwendeten sie E-Mail-Adressen und Passwörter, die bereits bei früheren, unabhängigen Datendiebstählen erbeutet worden waren – eine klassische Credential-Stuffing-Attacke.

Betroffene Bundesstaaten und unbekanntes Gesamtausmaß

Das Unternehmen schloss seine internen Ermittlungen am 13. Juli ab und meldete den Vorfall ab dem 20. Juli den Generalstaatsanwaltschaften der Bundesstaaten. Offizielle Einreichungen zeigen, dass Kunden in mindestens zehn Bundesstaaten sowie im District of Columbia betroffen sind – darunter Iowa, Maryland, Massachusetts, New Mexico, New York, North Carolina, Oregon, Rhode Island und Vermont.

Die Gesamtzahl der betroffenen Kunden blieb ungenannt. Aus den Einreichungen geht jedoch hervor, dass allein in Texas 2.182 und in Massachusetts 39 Kunden betroffen waren.

Welche Daten abgeflossen sind

Die Ermittlungen ergaben, dass die Angreifer Zugriff auf eine Reihe persönlicher und finanzieller Informationen aus den Chick-fil-A-One-Konten erlangen konnten. Dazu gehören Namen, E-Mail-Adressen, Mitgliedsnummern und Mobile-Pay-Nummern. In einigen Fällen waren auch QR-Codes, Geschenkkartenguthaben und Treuestufen einsehbar.

Der aktuelle Datendiebstahl zeigt erneut, wie riskant die Verwendung herkömmlicher Passwörter für Online-Konten geworden ist. Erfahren Sie in diesem kostenlosen Report, wie Sie mit der neuen Passkey-Technologie Ihre Konten bei Diensten wie WhatsApp oder Amazon unknackbar machen. Kostenlosen Passkey-Ratgeber jetzt herunterladen

Bei Konten mit umfangreicheren Profilen könnten zudem Telefonnummern, Postadressen und Geburtsdaten abgegriffen worden sein. Finanzdaten beschränkten sich auf die letzten vier Ziffern der hinterlegten Kreditkarten – vollständige Kartennummern waren laut Unternehmen nicht zugänglich.

Schutzmaßnahmen und Empfehlungen

Nach der Entdeckung des Angriffs leitete Chick-fil-A umgehend Gegenmaßnahmen ein: Das Unternehmen erzwang eine Abmeldung aller aktiven Sitzungen, setzte Passwörter zurück und entfernte gespeicherte Zahlungsmethoden, um weitere unbefugte Transaktionen zu verhindern.

Betroffene Kunden erhielten ihre gestohlenen Geschenkkarten- und Prämienkontingente zurück. In einigen Fällen fügte das Unternehmen zusätzliche Prämien als „Goodwill-Geste" hinzu. Chick-fil-A empfiehlt allen Nutzern, die Multi-Faktor-Authentifizierung (MFA) zu aktivieren, um künftige Angriffe auf Basis gestohlener Zugangsdaten zu erschweren.

Allein in Deutschland werden pro Quartal rund 4,7 Millionen Online-Konten gehackt – oft, weil einfache Passwörter keine ausreichende Hürde mehr darstellen. Dieser Gratis-Leitfaden zeigt Ihnen, wie Sie die sicherere Alternative zu Passwörtern sofort einrichten und Hacker effektiv aussperren. Sicher ohne Passwort: Jetzt Gratis-Report sichern

Wiederholungstäter: Bereits 2023 kam es zu einem ähnlichen Vorfall

Der aktuelle Vorfall folgt einem Muster, das bereits Anfang 2023 für Schlagzeilen sorgte. Damals waren zwischen Dezember 2022 und Februar 2023 mehr als 71.000 Kunden betroffen. Branchenanalysten wiesen bereits damals darauf hin, dass Credential-Stuffing-Angriffe eine erhebliche Bedrohung für Treueprogramme im Einzelhandel und Gastgewerbe darstellen. Grund ist die weit verbreitete Praxis, dass Nutzer dasselbe Passwort für mehrere Online-Dienste verwenden.

de | wissenschaft | 69839283 |