40 miljoonaa käyttäjätietoa Cheggin ed tech -tekniikasta luonnossa

Chegg tuli Federal Trade Commissionin tietoon vakavista tietoturvaloukkauksista. Yritys ei tekisi edes vähimmäismäärää suojellakseen tietojaan.

Chegg on amerikkalainen koulutusteknologiayritys, jolla on vahva asema Yhdysvalloissa. Federal Trade Commission (FTC) nosti yritystä vastaan ​​kanteen , jossa se syytti sitä turvallisuuden laiminlyönnistä, joka vuodesta 2017 lähtien on vaarantanut monia henkilötietoja. Rikkomuksista yrityksen väitetään paljastaneen 40 miljoonan käyttäjän tiedot vuonna 2018 sen jälkeen, kun entinen urakoitsija käytti valtuustietojaan päästäkseen kolmannen osapuolen tietokantaan. Nimet, sähköpostiosoitteet, salasanat sekä uskonto, seksuaalinen suuntautuminen tai vanhempien tulot myytäisiin mustalla markkinoilla.

Chegg tuli FTC:n tietoon vakavista turvallisuusrikkomuksista

FTC syyttää myös Cheggiä siitä, ettei se ole toteuttanut ”kaupallisesti kohtuullisia” turvatoimia. Tämä antaisi työntekijöille ja alihankkijoille mahdollisuuden käyttää samaa tiliä ilman kaksivaiheista todennusta tai uhkatietoa. Yhtiö jakoi henkilötietoja selkeästi ja käytti salasanoissa ”heikkoa ja vanhentunutta” salausta. Cheggillä ei myöskään olisi kunnollista turvallisuuspolitiikkaa ennen tammikuuta 2021, eikä hän saa tarpeeksi turvallisuuskoulutusta kolmesta tietojenkalastelukampanjasta huolimatta.

FTC:n mukaan Chegg lupasi korjata tilanteen. Yrityksen tulee olla tarkka keräämiensä tietojen suhteen ja rajoittaa keräämistä mahdollisimman paljon. Se toteuttaa myös kaksivaiheisen todennuksen sekä ”kattavan” tietoturvaohjelman, joka sisältää salauksen ja tietoturvakoulutuksen. Asiakkailla on pääsy tietoihinsa ja he voivat pyytää Cheggiä poistamaan kyseiset tiedot.

Yritys ei tekisi edes vähimmäismäärää suojellakseen tietojaan.

Chegg ei ole ainoa yritys, jonka kanssa FTC on puolustanut turvallisuusnäkökohtia. Viime heinäkuussa Uber pääsi sovintoon oikeusministeriön kanssa, koska se ei ilmoittanut asiakkaille suuresta tietoturvaloukkauksesta vuonna 2016. Viimeksi Federal Trade Commission määräsi Drizleylle ja hänen toimitusjohtajalleen seuraamuksia virheistä, jotka johtivat laajamittaiseen välikohtaukseen vuonna 2020. Yhdysvaltain hallitus haluaa estää tällaiset tietoturvaloukkaukset tai ainakin minimoida riskit ja aikoo rangaista yrityksiä, jotka eivät ota turvallisuutta vakavasti.

Lehdistötiedotteessa Chegg selittää, että tietosuoja on ”prioriteetti”. Yritys on tehnyt yhteistyötä FTC:n kanssa ja noudattaa täysin komission pyyntöjä. Hän lisää, ettei hän ole saanut pienintäkään sakkoa, mikä on hänen mukaansa todiste siitä, että hän pyrkii parantamaan turvallisuuttaan.