La cadena de comida rápida estadounidense Chick-fil-A informó una brecha de seguridad que afectó a usuarios de Chick-fil-A One, su programa de fidelización, luego de detectar una campaña de credential stuffing dirigida contra su sitio web y aplicación móvil. De acuerdo con la investigación de la compañía, el ataque ocurrió entre el 17 y el 19 de junio de 2026, cuando actores no autorizados utilizaron combinaciones de direcciones de correo electrónico y contraseñas obtenidas desde fuentes externas para acceder a cuentas de clientes.
Según las notificaciones remitidas a las autoridades estatales y a las personas afectadas, la empresa determinó el 13 de julio de 2026 que los atacantes pudieron acceder a información almacenada en las cuentas comprometidas.
Entre los datos potencialmente expuestos se encuentran nombres, direcciones de correo electrónico, números de membresía de Chick-fil-A One, números de pago móvil, códigos QR, saldo de créditos acumulados y los últimos cuatro dígitos de tarjetas de pago. En algunos casos, también pudieron verse comprometidos números telefónicos, direcciones y fechas de nacimiento cuando esa información estaba registrada en la cuenta.
La empresa explicó que el incidente fue consecuencia del uso de credenciales obtenidas desde terceros y no de una vulneración directa de sus sistemas de autenticación. En la notificación enviada a los afectados señaló que “partes no autorizadas lanzaron un ataque automatizado contra nuestro sitio web y aplicación móvil entre el 17 y el 19 de junio de 2026 utilizando credenciales de cuentas obtenidas de una fuente de terceros”.
Aunque la compañía no informó inicialmente el total de personas afectadas, documentos presentados ante distintas fiscalías generales estatales permitieron establecer que la brecha alcanzó a 13.322 clientes. Además, las notificaciones oficiales indican que el incidente impactó a residentes de varios estados, entre ellos Texas, Massachusetts, Iowa, Maryland, Nueva York, Carolina del Norte, Oregón, Vermont, Rhode Island, Nuevo México y el Distrito de Columbia (en la capital).
Como respuesta al incidente, Chick-fil-A cerró la sesión de todas las cuentas comprometidas, restableció las contraseñas, eliminó los métodos de pago almacenados y restauró los saldos utilizados por los atacantes. La empresa también informó que otorgó recompensas adicionales a algunos clientes afectados. En su comunicación pública afirmó que “tomamos medidas para abordar, proteger y restaurar inmediatamente las cuentas”.
La compañía recomendó a los usuarios cambiar las contraseñas de sus cuentas, especialmente si las mismas credenciales son utilizadas en otros servicios. Este es el segundo incidente de este tipo reconocido por Chick-fil-A en los últimos años. En 2023, la empresa informó que más de 71 mil cuentas fueron comprometidas en una campaña similar de credential stuffing, en la que también se utilizaron credenciales previamente expuestas en servicios de terceros.
