40 миллионов пользовательских данных от ed tech компании Chegg в дикой природе

Чегг попал в поле зрения Федеральной торговой комиссии за серьезные нарушения безопасности. Компания не сделала бы даже минимума для защиты своих данных.

Chegg — американская образовательная технологическая компания с сильным присутствием в США. Федеральная торговая комиссия (FTC) подала иск против компании, обвинив ее в пренебрежении своей безопасностью, что с 2017 года скомпрометировало множество персональных данных. Среди нарушений компания якобы разоблачила данные 40 млн пользователей в 2018 году, после того, как бывший подрядчик использовал свои учетные данные для доступа к сторонней базе данных. Имена, адреса электронной почты, пароли, а также религия, сексуальная ориентация или родительский доход оказались бы проданы на черном рынке.

Чегг попал в поле зрения FTC за серьезные нарушения безопасности

FTC также обвиняет Чегга в неспособности реализовать «коммерчески обоснованные» меры безопасности. Это позволило бы сотрудникам и подрядчикам использовать одну и ту же учетную запись, не требовало бы двухфакторной аутентификации или анализа возможных угроз. Компания делилась личными данными в открытом виде и использовала «слабое и устаревшее» шифрование для паролей. У Чегга также не было бы достойной политики безопасности до января 2021 года, и он недостаточно обучается безопасности, несмотря на три фишинговые кампании.

Согласно FTC, Чегг пообещал исправить ситуацию. Компания должна точно определить информацию, которую она собирает, и максимально ограничить объем этого сбора. Он также будет реализовывать двухфакторную аутентификацию, а также «комплексную» программу безопасности, которая включает в себя шифрование и обучение безопасности. Клиенты будут иметь доступ к своим данным и могут попросить Чегга удалить эти данные.

Компания не сделала бы даже минимума для защиты своих данных.

Chegg — не единственная компания, на стороне которой стояла FTC из-за проблем с безопасностью. В июле прошлого года Uber достиг соглашения с Министерством юстиции за то, что не уведомил клиентов о серьезном нарушении безопасности в 2016 году. Совсем недавно Федеральная торговая комиссия наложила санкции на Дризли и его генерального директора за ошибки, которые привели к крупномасштабному инциденту в 2020 году. Правительство США хочет предотвратить такие нарушения безопасности или, по крайней мере, минимизировать риск, и намерен наказать компании, которые серьезно не относятся к вопросу безопасности.

В пресс-релизе Чегг объясняет, что конфиденциальность данных является «приоритетом». Компания сотрудничала с FTC и будет «полностью выполнять» запросы Комиссии. Она добавляет, что не получила ни малейшего штрафа, который, по ее словам, был бы доказательством того, что она работает над повышением своей безопасности.