チック・フィル・A、認証情報詰め込み攻撃を受けたことを受け、データ漏洩を公表

米国のファストフードチェーン「チックフィレイ」は、最近相次いだ「クレデンシャルスタッフィング」攻撃により顧客アカウントがハッキングされたことを受け、人数は明らかにされていないが、一部の顧客に対してデータ漏洩の通知を行っている。

同社は、米国で第3位の規模を誇るクイックサービスレストラン企業と自称しており、3,000店舗以上のネットワークを展開し、米国、カナダ、プエルトリコ、英国、シンガポールでケータリングサービスを提供している。

同社は、影響を受けた個人に送付し、複数の司法長官事務所に提出したデータ漏洩通知書の中で、特定の「Chick-fil-A One」アカウントにおける不審なログイン活動を検知したことをきっかけに、この攻撃を発見したと明らかにした。

Chick-fil-Aが本件の調査中に判明したように、攻撃者は6月に同社のウェブサイトおよびモバイルアプリを標的とした。

「綿密な調査の結果、2026年6月17日から6月19日にかけて、第三者の情報源から入手したアカウント認証情報（メールアドレスやパスワードなど）を用いて、不正な第三者が当社のウェブサイトおよびモバイルアプリに対して自動化された攻撃を仕掛けたと判断しました」と同社は述べた。 「調査の結果、2026年7月13日時点で、不正な第三者がお客様の『Chick-fil-A One』アカウント内の情報にアクセスした可能性があることが判明しました。」

今回の情報漏洩により、顧客の氏名、メールアドレス、Chick-fil-A One会員番号およびモバイル決済番号、QRコード、Chick-fil-Aクレジット残高、ならびにクレジットカード／デビットカード番号の下4桁が流出した可能性があります。 さらに、侵害されたアカウントに保存されていた場合、攻撃者は生年月日、電話番号、住所にもアクセスした可能性があります。

Chick-fil-Aは、6月に発生したクレデンシャルスタッフィング攻撃によりアカウントが侵害された顧客数を公表しなかったものの、テキサス州司法長官に対しては、このデータ侵害の影響を受けたテキサス州住民が2,182人であることを、マサチューセッツ州司法長官に対しては39人の住民が影響を受けたことを報告した。 また、チック・フィル・Aは、アイオワ州、コロンビア特別区、メリーランド州、ニューメキシコ州、ニューヨーク州、ノースカロライナ州、オレゴン州、バーモント州、ロードアイランド州の住民に対しても、データ漏洩通知書を送付した。

クレデンシャルスタッフィングとは、攻撃者が自動化ツールを使用して、盗まれたユーザー名とパスワードの組み合わせでユーザーアカウントに侵入する手口であり、複数のプラットフォームで同じ認証情報を再利用している場合に特に効果的である。最終的な目的は、アカウントを乗っ取った後に個人情報や金融情報を盗み出し、それを後に他のサイバー犯罪者に売却したり、なりすましやその他の悪意のある目的に利用したりすることにある。

この事件を受けて、チックフィレイは影響を受けたすべてのアカウントからログアウトさせ、登録済みの支払い方法を削除し、Chick-fil-A Oneアカウントの残高を復元するとともに、謝罪の意を込めて影響を受けたアカウントに特典を追加した。アカウントは盗まれた認証情報を使って乗っ取られたため、同チェーンは影響を受けたユーザーに対し、できるだけ早くパスワードを変更するよう勧告した。

火曜日に、今回の攻撃で何件の顧客アカウントが侵害されたかについて取材した際、Chick-fil-Aの広報担当者は直ちにコメントを寄せることができなかった。

また、Chick-fil-Aは2023年3月、2022年12月から2023年2月にかけて発生した同様の「クレデンシャルスタッフィング」攻撃により、7万1,000人以上の顧客のアカウントがハッキングされ、攻撃者が個人情報にアクセスし、保存されていたリワード残高を不正に使用したことを確認している。