40 millones de datos de usuarios de Chegg’s ed tech en la naturaleza

Chegg llamó la atención de la Comisión Federal de Comercio por graves violaciones de seguridad. La empresa no haría ni lo mínimo para proteger sus datos.

Chegg es una empresa estadounidense de tecnología educativa con una fuerte presencia en los Estados Unidos. La Comisión Federal de Comercio (FTC) presentó una demanda contra la empresa , acusándola de descuidar su seguridad, que desde 2017 comprometió una gran cantidad de datos personales. Entre las infracciones, la empresa supuestamente expuso los datos de 40 millones de usuarios en 2018, luego de que un excontratista usara sus credenciales para acceder a una base de datos de terceros. Los nombres, las direcciones de correo electrónico, las contraseñas, así como la religión, la orientación sexual o los ingresos de los padres se venderían en el mercado negro.

Chegg llamó la atención de la FTC por graves violaciones de seguridad

La FTC también acusa a Chegg de no implementar medidas de seguridad “comercialmente razonables”. Esto permitiría a los empleados y contratistas usar la misma cuenta sin requerir autenticación de dos factores o inteligencia de amenazas. La empresa compartió datos personales de forma clara y usó un cifrado «débil y desactualizado» para las contraseñas. Chegg tampoco tendría una política de seguridad decente hasta enero de 2021, y no recibe suficiente capacitación en seguridad a pesar de tres campañas de phishing.

Según la FTC, Chegg prometió arreglar la situación. La Compañía debe ser específica sobre la información que recopila y limitar la recopilación tanto como sea posible. También implementará la autenticación de dos factores, así como un programa de seguridad «completo» que incluye capacitación en cifrado y seguridad. Los clientes tendrán acceso a sus datos y pueden pedirle a Chegg que elimine esos datos.

La empresa no haría ni lo mínimo para proteger sus datos.

Chegg no es la única empresa con la que la FTC se ha puesto del lado de las preocupaciones de seguridad. En julio pasado, Uber llegó a un acuerdo con el Departamento de Justicia por no notificar a los clientes sobre una importante brecha de seguridad en 2016. Más recientemente, la Comisión Federal de Comercio sancionó a Drizley y a su director ejecutivo por errores que llevaron a un incidente a gran escala en 2020. El gobierno de EE. UU. quiere evitar tales violaciones de seguridad, o al menos minimizar el riesgo, y tiene la intención de castigar a las empresas que no se toman la seguridad en serio.

En el comunicado de prensa, Chegg explica que la privacidad de los datos es una «prioridad». La empresa ha cooperado con la FTC y “cumplirá plenamente” con las solicitudes de la Comisión. Agrega que no ha recibido la más mínima multa, lo que dice sería una prueba de que está trabajando para mejorar su seguridad.