Ataque de credential stuffing ao programa de fidelidade da Chick-fil-A expõe mais de 13 mil contas

O incidente é um exemplo clássico de credential stuffing: os atacantes não exploraram uma falha técnica no sistema da Chick-fil-A, mas usaram ferramentas automatizadas para testar, em escala, pares de e-mail e senha vazados em brechas anteriores de outros serviços contra o programa de fidelidade Chick-fil-A One. O ataque funcionou porque uma parcela relevante de usuários reutiliza a mesma senha em múltiplos sites — basta uma dessas contas ter senha idêntica à usada no app da rede de fast-food para o login automatizado ter sucesso.

Entre 17 e 19 de junho de 2026, mais de 13 mil contas foram comprometidas dessa forma (o detalhamento aponta 13.322 pessoas afetadas, incluindo 2.182 no Texas e 39 em Massachusetts). Os dados a que os atacantes tiveram acesso incluem nome, e-mail, número de associação ao programa de fidelidade, saldo de crédito Chick-fil-A, número de pagamento móvel e os últimos quatro dígitos de cartões de crédito ou débito cadastrados — além, potencialmente, de data de nascimento, telefone e endereço. Não são dados de cartão completos, mas são suficientes para fraude de engenharia social subsequente (golpes de suporte técnico ou phishing direcionado citando dados reais da conta) e para monetização direta via saldo de pontos de fidelidade, que tem se tornado alvo recorrente desse tipo de ataque por ser mais fácil de resgatar ou revender do que dinheiro em conta bancária.

A resposta da empresa seguiu o padrão esperado para esse tipo de incidente: forçar logout de todas as contas comprometidas, remover métodos de pagamento salvos para impedir compras fraudulentas, restaurar os saldos de pontos desviados e oferecer recompensas como compensação, além de orientar os clientes afetados a trocarem a senha imediatamente.

Para o consumidor, a lição prática de todo incidente de credential stuffing é a mesma: nunca reutilizar senha entre serviços diferentes, preferencialmente usando um gerenciador de senhas para gerar credenciais únicas, e ativar autenticação em dois fatores sempre que o serviço oferecer essa opção — mesmo em contas que parecem “de baixo risco”, como um programa de fidelidade, já que elas guardam dados pessoais e financeiros parciais que valem dinheiro para fraudadores. Do lado das empresas, a defesa passa por detecção de padrões de login automatizado (velocidade, geolocalização, fingerprinting de dispositivo), bloqueio progressivo por IP/conta e exigência de MFA em ações sensíveis como troca de método de pagamento ou resgate de pontos.