Bijna drieduizend klanten van outdoorkledingmerk The North Face zijn getroffen door een credential stuffing-aanval, waarbij aanvallers via hergebruikte wachtwoorden toegang tot hun accounts kregen. Mogelijk was het de aanvallers te doen om de 'bonuspunten' van klanten waarmee allerlei producten zijn aan te schaffen. Gisteren werd er al bericht over de aanval, maar nu is ook het aantal slachtoffers bekend geworden.

Bij credential stuffing worden eerder gelekte e-mailadressen en wachtwoorden gebruikt om op geautomatiseerde wijze toegang tot accounts te krijgen. Aanvallers kijken of ze met inloggegevens die bij website A zijn gestolen ook op website B kunnen inloggen. De aanval is alleen mogelijk wanneer gebruikers hun wachtwoorden hergebruiken en bedrijven dergelijke geautomatiseerde aanvallen toestaan.

In een melding aan getroffen klanten stelt The North Face dat de aanvallers toegang konden krijgen omdat deze klanten hun wachtwoorden hergebruikten. Het outdoorkledingmerk hanteert in Canada en de Verenigde Staten een loyaliteitsprogramma, waarbij klanten voor elke besteedde dollar een punt krijgen. Voor elke honderd punten krijgen klanten een tegoed van tien dollar dat te gebruiken is voor de aanschaf van producten.

In een melding aan de Amerikaanse procureur-generaal laat het moederbedrijf van The North Face weten dat de aanvallers via hergebruikte wachtwoorden toegang tot 2861 accounts hebben gekregen. In 2020 en 2022 werden The North Face-klanten ook al het slachtoffer van credential stuffing. Bij de aanval van 2022 kregen aanvallers toegang tot bijna tweehonderdduizend accounts.