Chick-fil-A Ungkap Data Breach Setelah Serangan Credential Stuffing
Chick-fil-A mengungkap insiden data breach setelah sejumlah akun pelanggan diretas melalui serangan credential stuffing yang menargetkan layanan Chick-fil-A One. Serangan tersebut memanfaatkan kombinasi email dan password yang sebelumnya didapat dari sumber pihak ketiga, lalu dicoba secara otomatis ke situs web dan aplikasi mobile perusahaan.
Perusahaan jaringan restoran cepat saji asal Amerika Serikat itu menyatakan aktivitas mencurigakan terdeteksi pada sebagian akun Chick-fil-A One. Setelah dilakukan investigasi, serangan diketahui berlangsung antara 17 Juni hingga 19 Juni 2026. Chick-fil-A kemudian menyimpulkan pada 13 Juli 2026 bahwa pihak tidak berwenang kemungkinan telah mengakses informasi di akun pelanggan yang terdampak.
Credential stuffing merupakan teknik pengambilalihan akun yang mengandalkan kredensial bocor dari layanan lain. Metode ini efektif ketika pengguna memakai ulang kombinasi email dan password yang sama di beberapa platform. Dalam skenario seperti ini, layanan yang diserang tidak selalu mengalami kebocoran password secara langsung, tetapi akun tetap dapat dibobol karena kredensial pengguna sudah beredar di tempat lain.
Data Akun Chick-fil-A One yang Berpotensi Diakses
Informasi yang mungkin diakses dalam insiden ini mencakup kombinasi nama pelanggan, alamat email, nomor keanggotaan Chick-fil-A One, nomor mobile pay, QR code, jumlah saldo kredit Chick-fil-A, serta empat digit terakhir kartu kredit atau debit. Jika tersimpan di akun, data tambahan seperti tanggal lahir, nomor telepon, dan alamat juga berpotensi ikut terlihat oleh penyerang.
Chick-fil-A belum mengungkap jumlah total akun pelanggan yang terdampak secara global. Namun, dalam pemberitahuan kepada Texas Attorney General, perusahaan menyebut insiden ini berdampak pada 2.182 warga Texas. Surat pemberitahuan data breach juga dikirimkan kepada penduduk di beberapa wilayah lain, termasuk Iowa, District of Columbia, Maryland, Massachusetts, New Mexico, New York, North Carolina, Oregon, Vermont, dan Rhode Island.
Perusahaan Reset Akses dan Hapus Metode Pembayaran
Sebagai respons, Chick-fil-A mengeluarkan akun terdampak dari sesi login aktif, menghapus metode pembayaran yang tersimpan, memulihkan saldo akun Chick-fil-A One, serta menambahkan reward sebagai bentuk permintaan maaf kepada pelanggan terdampak. Perusahaan juga meminta pengguna mengganti password secepat mungkin, terutama bila password yang sama dipakai di layanan lain.
Insiden ini kembali menegaskan risiko penggunaan ulang password di banyak layanan digital. Pengguna disarankan memakai password unik untuk setiap akun, mengaktifkan password manager, dan memantau aktivitas akun apabila menemukan notifikasi login yang tidak biasa. Untuk layanan yang menyimpan metode pembayaran atau saldo reward, perubahan password secara berkala setelah ada dugaan kebocoran kredensial menjadi langkah pencegahan yang penting.
Chick-fil-A sebelumnya juga pernah mengonfirmasi serangan credential stuffing pada 2023, ketika pelaku mengakses informasi pribadi dan memakai saldo reward dari lebih dari 71.000 pelanggan. Pola terbaru menunjukkan bahwa akun loyalti pelanggan tetap menjadi target menarik karena dapat menyimpan data pribadi, informasi pembayaran terbatas, serta nilai ekonomi dalam bentuk saldo atau reward.
Sumber: Massachusetts Attorney General
