Aanvallers hebben in juli en augustus van dit jaar bijna 200.000 accounts van The North Face via een credential stuffing-aanval weten te kapen, zo blijkt een datalekmelding die door de procureur-generaal van de Amerikaanse staat Maine openbaar is gemaakt. Twee jaar geleden kreeg de website van het kledingmerk ook al met een credential stuffing-aanval te maken.

Bij credential stuffing worden eerder gelekte e-mailadressen en wachtwoorden gebruikt om op geautomatiseerde wijze toegang tot accounts te krijgen. Aanvallers kijken of ze met inloggegevens die bij website A zijn gestolen ook op website B kunnen inloggen. De aanval is alleen mogelijk wanneer gebruikers hun wachtwoorden hergebruiken en bedrijven dergelijke geautomatiseerde aanvallen toestaan.

The North Face ontdekte op 11 augustus verdachte activiteit op thenorthface.com. Uit het onderzoek dat volgde bleek dat aanvallers tussen 26 juli en 19 augustus via credential stuffing toegang tot 195.000 accounts hadden gekregen. Naast e-mailadres en wachtwoord van deze gebruikers hebben de aanvallers mogelijk ook adresgegevens, gekochte producten, namen, geboortedata, telefoonnummer, geslacht en klantenkaartgegevens ingezien.

Volgens het kledingmerk zijn er geen creditcardgegevens buitgemaakt. Vanwege de aanval is besloten de wachtwoorden van gecompromitteerde accounts te resetten en zijn creditcardtokens verwijderd. Hierdoor zullen deze klanten hun creditcardgegevens opnieuw moeten invoeren. The North Face adviseert klanten om een uniek wachtwoord voor hun account in te stellen en alert te zijn op phishingaanvallen.