鸡排餐厅的客户因账号被盗而怨声载道

一场持续两个月的自动化凭证填充攻击暴露了鸡排餐厅客户的个人信息,包括生日、电话号码和会员详情。
鸡排餐厅的客户因账号被盗而怨声载道

鸡排专家鸡排餐厅已经警告客户,一场自动化凭证填充攻击持续了几个月,根据该公司的说法,影响了超过 7.1 万名客户。

凭证填充攻击利用自动化,通常通过机器人,对目标在线账户测试大量的用户名-密码组合。这种类型的攻击方式是通过用户在不同的在线服务中重复使用相同的密码的常见做法而实现的;因此,凭证填充攻击中使用的登录信息通常来自其他数据泄露,并且从各种暗网来源出售。

“经过仔细调查,我们确定,未经授权的方在 2022 年 12 月 18 日至 2023 年 2 月 12 日之间,使用从第三方来源获得的账户凭证(例如,电子邮件地址和密码)对我们的网站和移动应用程序发起了自动化攻击,”该公司在发送给受影响者的声明中指出。

被泄露的个人信息包括客户的姓名、电子邮件地址、会员号和移动支付号,以及掩码的信用卡或借记卡号——这意味着未经授权的方只能查看支付卡号的最后四位数字。一些客户的电话号码、地址、生日和月份也被暴露了。

鸡排餐厅补充说,在攻击发生后,它已经删除了存储的信用卡和借记卡支付方式,暂时冻结了之前加载到客户的鸡排餐厅一号账户上的资金,并恢复了任何受影响的账户余额。这家快餐连锁店还建议客户采取最佳实践,重置他们的密码,并使用一个不容易被猜测且对网站独特的密码。

有些人指出,虽然密码重用或使用常见和弱密码是用户的过错,但鸡排餐厅仍然承担一些责任。

“这是信息安全的新前沿:攻击者已经访问了这些用户的账户,不是因为网站所有者的任何失误,而是由于人类自然倾向于在多个网站上重复使用用户名/密码,”PerimeterX 的新兴产品副总裁 Uriel Maimon 说。“然而,尽管如此,组织有法律和道德义务保护他们用户的个人和财务信息。”

他补充说,“这突显了范式的转变,即网站所有者不仅需要保护他们的网站免受标准网络攻击,还需要保护他们代表用户持有的信息。他们可以通过跟踪登录用户的行为和取证信号来区分真实用户和攻击者。”

这家连锁店提供了一些补偿措施,以防客户在事件发生后想要逃离鸡舍:“作为另一种方式来感谢你成为忠实的鸡排餐厅客户,我们已经在你的账户中添加了奖励,”声明继续说。“鸡排餐厅将继续增强其安全、监控和欺诈控制,以适当地降低未来发生类似事件的风险。”

据报道,在 1 月份,鸡排餐厅一直在调查潜在被黑客入侵的客户账户的“可疑活动”。目前尚不清楚为什么它花了这么长时间才确定凭证填充事件正在进行中。该公司没有立即回应 Dark Reading 的评论请求。

凭证填充攻击呈上升趋势

凭证填充攻击最近变得更加普遍,这是由暗网上大量出售的凭证所推动的。事实上,被盗凭证的销售占据了地下市场的主导地位,根据本周的一项分析,目前有超过 7.75 亿个凭证正在出售。

在 1 月份,近 3.5 万个 PayPal 用户账户遭受了一场凭证填充攻击,暴露了可能被用于发动更多后续攻击的个人数据。同样在那个月,Norton LifeLock 警告客户他们可能因为其自身的凭证填充攻击而受到影响。

这种情况也引发了更广泛的讨论。由于近三分之二的人在访问不同的网站时重复使用密码,一些安全专家提出了摒弃密码的方法,包括用安全密钥、生物识别和 FIDO(快速身份在线)技术来替代它们。

推荐阅读:

针对当今易受攻击的网站和 Web 应用的预防性方法

初始访问经纪人经济:深入探讨暗网黑客论坛

  • 点赞
  • 打赏
请选择打赏方式
  • ERC-20
  • TRC-20