Chick-fil-A ha advertido a sus clientes que deben actualizar sus contraseñas de Chick-fil-A One tras detectar un acceso no autorizado a un grupo de cuentas de fidelidad. La empresa confirmó que, entre el 17 y el final de junio de 2026, sufrió un ataque de relleno de credenciales (credential stuffing) automatizado contra su sitio web y aplicación móvil.

Chick-fil-A ha advertido a sus clientes que actualicen sus contraseñas de Chick-fil-A One tras detectar acceso no autorizado a un subconjunto de cuentas de fidelidad durante un ataque de relleno de credenciales (credential stuffing) en junio de 2026.

Después de realizar una investigación interna, la empresa confirmó que los atacantes utilizaron un ataque automatizado de relleno de credenciales contra su sitio web y su aplicación móvil entre el 17 y el 19 de junio de 2026.

En este tipo de ataque, los criminales reutilizan combinaciones de correos electrónicos y contraseñas robadas de filtraciones de datos anteriores, esperando que tú hayas reutilizado las mismas credenciales en Chick-fil-A One.

El incidente afectó a clientes en diez estados de EE. UU., lo que llevó a Chick-fil-A a emitir notificaciones formales de brecha de datos y guías de seguridad.

La empresa ha restablecido las contraseñas de las cuentas afectadas, ha cerrado las sesiones activas de los usuarios y ha eliminado los métodos de pago almacenados como medida de contención.

Chick-fil-A advierte a los clientes tras un acceso no autorizado

Chick-fil-A también recomienda a todos los usuarios de Chick-fil-A One que cambien sus contraseñas de forma proactiva, incluso si aún no han recibido una notificación oficial.

Según los avisos de la brecha y los informes de los medios, los datos potencialmente expuestos incluyen nombres de clientes, direcciones de correo electrónico, números de pago móvil y detalles parciales de tarjetas de pago asociadas a las cuentas de Chick-fil-A One.

Es posible que los atacantes también hayan accedido a los saldos de fidelidad y al historial de transacciones vinculados a los perfiles comprometidos. Aunque no hay confirmación de que se hayan robado los números completos de las tarjetas, los datos financieros parciales y la información de contacto aumentan el riesgo de fraudes posteriores y campañas de phishing dirigidas.

Chick-fil-A ha enfatizado que el ataque utilizó credenciales obtenidas de brechas de terceros no relacionadas, y no de una filtración de su propia base de datos de autenticación principal.

Este incidente marca la segunda vez que una actividad de relleno de credenciales afecta a las cuentas de Chick-fil-A One, tras una campaña anterior que afectó a más de 70.000 cuentas entre 2022 y 2023.

La recurrencia pone de relieve las vulnerabilidades persistentes relacionadas con la reutilización de contraseñas. Subraya la necesidad de una protección de cuenta más fuerte en las plataformas de fidelidad del consumidor.

Tanto los investigadores de seguridad como Chick-fil-A recomiendan que tú, como usuario de Chick-fil-A One, crees inmediatamente una contraseña nueva y única que no utilices en ningún otro servicio en línea.

Si has reutilizado la misma contraseña en varios sitios, debes actualizar tus credenciales en todas partes donde se haya usado esa combinación para minimizar el riesgo de que te roben más cuentas.

También se te anima a activar la autenticación de múltiples factores (MFA) a través de un número de teléfono móvil verificado, algo que Chick-fil-A admite para añadir protección al inicio de sesión.

Los clientes afectados deben revisar cuidadosamente la actividad de su cuenta de Chick-fil-A, así como los estados de cuenta bancarios y de tarjetas, para detectar cualquier compra o canje de recompensas no autorizado.

Se aconseja monitorear los informes de crédito y mantenerse vigilante ante correos electrónicos de phishing o mensajes SMS que suplanten a Chick-fil-A, ya que los datos expuestos pueden ser explotados en ataques de ingeniería social.

Este incidente sirve como recordatorio de que las aplicaciones de fidelidad son objetivos atractivos para los atacantes debido a las credenciales de pago almacenadas y los ricos datos de perfil de cliente que contienen.

Fuentes:
https://cybersecuritynews.com/chick-fil-a-customers-passwords-reset/