Сеть ресторанов быстрого питания Chick-fil-A предупредила клиентов о том, что их данные утекли, после того как злоумышленники несколько раз взломали учётные записи. Преступники вошли в аккаунты с помощью ранее украденных адресов электронной почты и паролей.

Chick-fil-A называет себя третьей по величине сетью ресторанов быстрого обслуживания в США. Компания управляет более чем 3000 заведений и работает в США, Канаде, Пуэрто-Рико, Великобритании и Сингапуре.

Подозрительную активность Chick-fil-A заметила в некоторых учётных записях программы лояльности Chick-fil-A One. Когда компанию проверили, выяснилось, что злоумышленники атаковали сайт и мобильное приложение с 17 по 19 июня 2026 года. Чтобы входить в аккаунты автоматически, они использовали данные, похищенные у сторонних сервисов.

13 июля компания пришла к выводу, что посторонние могли получить доступ к информации в аккаунтах клиентов. В раскрытые данные могли попасть имена, адреса электронной почты, номера участников Chick-fil-A One, номера для мобильной оплаты, QR-коды, остатки средств на счетах программы лояльности и последние четыре цифры банковских карт.

Если пользователи добавляли в профиль дополнительные сведения, злоумышленники также могли увидеть даты рождения, номера телефонов и домашние адреса.

Chick-fil-A не сообщила общее число пострадавших. Из уведомлений, направленных властям отдельных штатов, известно о 2182 затронутых жителях Техаса и 39 жителях Массачусетса. Компания также разослала предупреждения клиентам в Айове, округе Колумбия, Мэриленде, Нью-Мексико, Нью-Йорке, Северной Каролине, Орегоне, Вермонте и Род-Айленде.

Чтобы взломать аккаунты, злоумышленники применили метод автоматической подстановки учётных данных. При такой схеме программы перебирают украденные сочетания адресов электронной почты и паролей на разных сайтах. Метод часто срабатывает, когда человек использует один пароль сразу в нескольких сервисах.

Получив доступ к аккаунтам, преступники могут похищать личные и платёжные данные, тратить накопленные бонусы, продавать сведения другим злоумышленникам или мошенничать от имени владельца.

Chick-fil-A завершила все затронутые сеансы, удалила сохранённые способы оплаты и восстановила остатки средств в программе лояльности. В качестве извинения компания также начислила пострадавшим дополнительные вознаграждения и посоветовала как можно скорее сменить пароли.

Похожий случай произошёл с Chick-fil-A в 2022 и 2023 годах. Тогда злоумышленники взломали более 71 000 учётных записей, получили доступ к личным данным клиентов и потратили накопленные ими бонусы.