Chick-fil-A confirma invasão de contas de clientes via credential stuffing
A Chick-fil-A notificou clientes sobre um vazamento de dados causado por ataques de credential stuffing contra contas do programa de fidelidade Chick-fil-A One, ocorridos entre 17 e 19 de junho de 2026. Criminosos usaram listas de credenciais vazadas de outros serviços para assumir o controle de contas, expondo saldos, números de fidelidade, dados parciais de cartão e métodos de pagamento móvel. A empresa revogou sessões comprometidas, removeu formas de pagamento cadastradas e ofereceu créditos como compensação às vítimas confirmadas.
A Chick-fil-A informou ter detectado "atividade de login suspeita" em contas do programa de recompensas Chick-fil-A One e, após investigação concluída em 13 de julho de 2026, confirmou que o acesso indevido às contas ocorreu entre 17 e 19 de junho. Embora não tenha divulgado o total de contas afetadas globalmente, a companhia notificou reguladores nos Estados Unidos — só no Texas, 2.182 clientes foram impactados, com avisos enviados também a residentes de outros dez estados e territórios americanos.
O vetor de ataque foi credential stuffing: criminosos pegam listas de pares e-mail/senha vazados em vazamentos de outros serviços (as chamadas "combolists") e testam essas combinações em massa, de forma automatizada, contra o login de um alvo diferente. Como grande parte dos usuários reaproveita senha entre sites, uma fração pequena das tentativas sempre funciona — e com ferramentas de automação e proxies rotativos, mesmo uma taxa de sucesso abaixo de 1% gera milhares de contas comprometidas quando o ataque roda em escala industrial.
O que torna o caso relevante para fraude é o que havia dentro das contas: saldo de recompensas conversível, números de pagamento móvel e QR codes, últimos quatro dígitos de cartão e, em alguns casos, dados cadastrais completos. Isso dá ao invasor tudo que precisa para fazer pedidos às custas da vítima, resgatar recompensas acumuladas ou reaproveitar os dados pessoais expostos em golpes de phishing subsequentes direcionados às mesmas pessoas.
Para o consumidor, a defesa prática é conhecida mas raramente seguida: nunca reutilizar senha entre serviços, usar gerenciador de senhas e ativar autenticação multifator sempre que o programa de fidelidade oferecer essa opção. Quem recebeu a notificação da Chick-fil-A deve trocar a senha em qualquer outro serviço onde a reaproveitou, revisar o histórico de pedidos e resgates da conta, e desconfiar de e-mails de "confirmação de compra" não reconhecidos. Do lado das empresas, o episódio reforça a necessidade de bloqueio progressivo de tentativas de login, detecção de bots e device fingerprinting, e MFA obrigatório em contas que armazenam saldo ou meio de pagamento.