Violation de données chez Chick-fil-A en 2026

Les informations variaient d’une personne à l’autre et peuvent comprendre les noms, les adresses e-mail, les numéros de membre Chick-fil-A One, les numéros de paiement mobile, les codes QR, les soldes de crédits de fidélité et les quatre derniers chiffres d’une carte de crédit ou de débit enregistrée. Une date de naissance, un numéro de téléphone et une adresse postale ont également pu être consultés lorsque ces renseignements étaient enregistrés dans le compte compromis.

Aucune exposition de numéros complets de cartes de paiement ou de codes de sécurité de carte n’a été signalée. Les mots de passe ne figurent pas non plus parmi les catégories de données concernées par cet incident, car les identifiants utilisés lors de l’attaque provenaient de sources extérieures à Chick-fil-A. Toutefois, l’accès réussi aux comptes a créé des risques de vol de crédits de fidélité, d’utilisation abusive de codes QR, de consultation des données de profil et de modification des paramètres des comptes.

Le bourrage d’identifiants consiste à utiliser des outils automatisés pour tester, sur de nombreuses plateformes, des combinaisons d’adresses e-mail et de mots de passe ayant fuité depuis un autre service. Si un client avait réutilisé le même mot de passe pour Chick-fil-A One, l’attaquant pouvait réussir à se connecter. Cette méthode ne nécessite pas de compromettre la base de données de mots de passe de Chick-fil-A; elle tire principalement parti de la réutilisation des mêmes identifiants sur plusieurs services.

Une attaque peut aussi se poursuivre en exploitant une procédure de récupération de compte peu sécurisée ou un compte de messagerie insuffisamment protégé. Les utilisateurs touchés doivent donc changer non seulement leur mot de passe Chick-fil-A, mais aussi celui de chaque compte utilisant le même mot de passe ou un mot de passe très similaire. La messagerie principale, les services financiers, les comptes d’achat et les autres programmes de fidélité doivent être traités en priorité.

Les crédits et les codes QR Chick-fil-A One sont des avantages de fidélité ayant une valeur monétaire. Un accès non autorisé peut permettre à un criminel de dépenser le solde ou d’utiliser abusivement les identifiants de paiement mobile. Chick-fil-A a déclaré avoir déconnecté les comptes touchés, supprimé les moyens de paiement enregistrés et rétabli les soldes Chick-fil-A One concernés.

Consultez l’historique des crédits et des récompenses dans l’application, et conservez des captures d’écran ainsi que les dates et heures de toute utilisation inconnue, de l’apparition d’un nouvel appareil ou d’une modification du compte. Changez le mot de passe du compte et vérifiez la sécurité de votre messagerie avant d’ajouter à nouveau un moyen de paiement. Une personne qui connaît les quatre derniers chiffres de votre carte peut se faire passer pour le service client, mais cette information partielle ne permet pas de confirmer l’identité de la personne qui vous appelle.

Créez un mot de passe Chick-fil-A One long et unique, que vous n’utilisez nulle part ailleurs. Changez le mot de passe de chaque compte qui utilisait l’ancien. Un gestionnaire de mots de passe facilite la création et le stockage d’identifiants uniques. Activez l’authentification multifacteur si elle est proposée et privilégiez, lorsque c’est possible, une application d’authentification ou une clé de sécurité.

Vérifiez les sessions actives, les adresses de récupération, les applications connectées et les règles de transfert automatique de votre compte de messagerie principal. Si vous constatez une connexion inconnue ou recevez une alerte de réinitialisation du mot de passe que vous n’avez pas demandée, fermez toutes les sessions et changez le mot de passe depuis un appareil sain. L’ajout d’un code PIN distinct au compte de votre opérateur mobile peut offrir une protection supplémentaire contre les tentatives de prise de contrôle de votre numéro de téléphone.

Après la divulgation de l’incident, des criminels peuvent envoyer de faux messages vous invitant à « rétablir votre solde », à « ajouter à nouveau votre moyen de paiement » ou à « vérifier votre compte ». Ouvrez vous-même l’application Chick-fil-A ou saisissez directement chick-fil-a.com plutôt que d’utiliser un lien reçu dans un message. Ne communiquez jamais de mot de passe, de numéro de carte complet ou de code à usage unique à une personne qui vous contacte sans sollicitation de votre part.

Des messages inattendus affirmant que l’entreprise a ajouté des récompenses à votre compte peuvent également servir à des tentatives d’hameçonnage. Vérifiez l’adresse complète et le domaine de l’expéditeur plutôt que son nom affiché. Signalez, sans y répondre, les messages qui vous poussent à agir dans l’urgence, exigent l’ouverture d’une pièce jointe ou demandent un moyen de paiement inhabituel. Contactez le service client uniquement par l’application ou le site web officiels.

Cette fiche décrit l’incident confirmé par l’entreprise, qui a touché 13 322 comptes Chick-fil-A One. Si Chick-fil-A vous a contacté directement, considérez que votre compte fait partie des comptes ciblés et prenez les mesures recommandées.

Remplacez d’abord les mots de passe réutilisés, puis vérifiez les crédits de fidélité, l’historique des récompenses, les moyens de paiement enregistrés et le profil du compte. Signalez toute activité suspecte par le canal d’assistance officiel et activez les alertes de transaction sur le compte associé à votre carte. Cette fiche est distincte de celle consacrée au précédent incident de bourrage d’identifiants de Chick-fil-A survenu en 2022–2023 et porte uniquement sur l’attaque de juin 2026.