Chick-fil-A Konfirmasi Data Breach yang Berdampak pada 13.322 Pelanggan
Chick-fil-A mengonfirmasi data breach yang berdampak pada 13.322 pelanggan setelah gelombang serangan credential stuffing menargetkan akun Chick-fil-A One melalui website dan aplikasi mobile perusahaan.
Serangan tersebut terdeteksi setelah perusahaan mengidentifikasi aktivitas login mencurigakan pada sejumlah akun Chick-fil-A One. Berdasarkan pemberitahuan pelanggaran data yang diajukan ke beberapa kantor attorney general, aktivitas serangan berlangsung pada 17 Juni hingga 19 Juni 2026.
Dalam skenario credential stuffing, pelaku menggunakan kombinasi username dan password yang sebelumnya bocor dari layanan pihak ketiga, lalu mencoba memakainya secara otomatis di layanan lain. Jika pelanggan menggunakan password yang sama di banyak platform, akun mereka dapat diambil alih meskipun sistem utama perusahaan tidak diretas secara langsung.
Data Pelanggan yang Berpotensi Diakses
Chick-fil-A menyebut pelaku menggunakan automated tools dan kredensial yang diperoleh dari sumber pihak ketiga untuk mengakses akun Chick-fil-A One. Setelah berhasil masuk, pelaku dapat melihat kombinasi data pelanggan yang tersimpan di dalam akun.
Informasi yang berpotensi terekspos mencakup nama, alamat email, nomor membership Chick-fil-A One, jumlah Chick-fil-A credit, mobile pay number, serta empat digit terakhir kartu kredit atau debit. Jika pelanggan menyimpannya di akun, tanggal lahir, nomor telepon, dan alamat juga dapat ikut terlihat.
Walau data kartu yang terekspos hanya berupa empat digit terakhir, kombinasi informasi akun dan data kontak tetap berisiko dimanfaatkan untuk phishing lanjutan, penipuan customer support palsu, atau percobaan pengambilalihan akun di layanan lain.
Perusahaan Reset Akun dan Pulihkan Saldo
Chick-fil-A mengatakan telah mengambil langkah untuk mengamankan dan memulihkan akun yang terdampak. Perusahaan juga menghubungi langsung pelanggan yang mungkin terdampak oleh insiden tersebut.
Sebagai bagian dari respons, Chick-fil-A melakukan logout terhadap semua akun terdampak, menghapus metode pembayaran yang tersimpan, serta memulihkan saldo Chick-fil-A One account yang terpengaruh. Perusahaan juga menambahkan reward ke akun terdampak sebagai bentuk permintaan maaf.
Karena serangan ini memanfaatkan kredensial yang bocor dari layanan pihak ketiga, pelanggan terdampak diminta segera mengganti password. Pelanggan juga disarankan tidak memakai ulang password yang sama di layanan lain.
13.322 Orang Terdampak
Dalam filing yang dibagikan melalui Office of the Maine Attorney General, Chick-fil-A menyatakan total 13.322 orang terdampak oleh insiden ini. Filing terpisah juga menyebutkan ribuan pelanggan di Texas serta puluhan warga Massachusetts masuk dalam cakupan pemberitahuan.
Selain Maine, perusahaan juga mengirimkan notifikasi pelanggaran data kepada penduduk di District of Columbia, Iowa, Maryland, New Mexico, New York, North Carolina, Oregon, Vermont, dan Rhode Island.
Chick-fil-A bukan pertama kali menghadapi insiden credential stuffing. Pada Maret 2023, perusahaan juga mengungkap insiden serupa yang berdampak pada lebih dari 71.000 pelanggan setelah akun mereka diakses melalui kredensial yang sebelumnya bocor di layanan lain.
Credential Stuffing Masih Jadi Ancaman Besar
Kasus ini kembali menunjukkan bahwa credential stuffing tetap menjadi ancaman serius bagi layanan konsumen, terutama ketika akun menyimpan saldo, reward, metode pembayaran, atau data pribadi yang dapat digunakan untuk penipuan lanjutan.
Pengguna disarankan memakai password unik untuk setiap layanan, menyimpan kredensial di password manager, dan mengaktifkan multi-factor authentication jika tersedia. Jika sebuah layanan mengirim notifikasi login mencurigakan, pengguna sebaiknya segera mengganti password dan memeriksa aktivitas akun.
Bagi perusahaan, deteksi login otomatis, pembatasan percobaan login, proteksi terhadap bot, dan monitoring aktivitas tidak biasa menjadi lapisan penting untuk mengurangi risiko serangan credential stuffing skala besar.
Sumber: Office of the Maine Attorney General
