Klanten van outdoorkledingmerk The North Face zijn opnieuw het slachtoffer van een credential stuffing-aanval geworden, waarbij de accounts van een onbekend aantal klanten is gekaapt. Bij credential stuffing worden eerder gelekte e-mailadressen en wachtwoorden gebruikt om op geautomatiseerde wijze toegang tot accounts te krijgen. Aanvallers kijken of ze met inloggegevens die bij website A zijn gestolen ook op website B kunnen inloggen.

De aanval is alleen mogelijk wanneer gebruikers hun wachtwoorden hergebruiken en bedrijven dergelijke geautomatiseerde aanvallen toestaan. In een melding aan getroffen klanten laat The North Face weten dat het op 23 april ongewone activiteit op de website ontdekte. Verder onderzoek wees uit dat aanvallers door middel van een credential stuffing-aanval toegang tot klantenaccounts hadden gekregen.

Volgens The North Face hebben de aanvallers inloggegevens van klanten op andere websites gestolen en daarmee ingelogd op de website van het outdoorkledingmerk. Doordat de aanvallers toegang tot het account kregen hebben ze ook toegang gekregen tot daarin opgeslagen informatie, zoals adresgegevens, voorkeuren, e-mailadres, naam, geboortedatum en telefoonnummer. Dat laat het bedrijf in een datalekmelding aan de procureur-generaal van de Amerikaanse staat Vermont weten (pdf). In 2020 en 2022 werden The North Face-klanten ook al het slachtoffer van credential stuffing.