Filtración de datos de Chegg

Los principales tipos de datos confirmados en la filtración de Chegg son direcciones de correo electrónico, nombres, nombres de usuario, contraseñas, números de teléfono y direcciones físicas. Una dirección de correo electrónico por sí sola ya es un dato valioso para ataques de phishing y pruebas de acceso a cuentas; el nombre de usuario y el nombre de la persona permiten personalizar esos ataques. En las cuentas que incluyen una dirección física o un número de teléfono, los atacantes pueden preparar avisos más convincentes, mensajes falsos que usan entregas como pretexto o llamadas en las que se hacen pasar por un centro de soporte.

El elemento más crítico son los hashes de contraseñas. El uso de MD5, un método débil, sin sal criptográfica hace que la probabilidad de descifrar las contraseñas sea especialmente alta cuando son cortas, se basan en palabras de diccionario o se reutilizan. Si un estudiante o antiguo alumno utilizó la misma contraseña para su cuenta de correo electrónico, el portal de su centro educativo, un servicio de almacenamiento de archivos o una cuenta de pagos, el riesgo va más allá de la cuenta de Chegg. Por tanto, la filtración de datos de Chegg no debe verse solo como un incidente antiguo de una cuenta educativa, sino como un riesgo amplio para la seguridad de la identidad, con implicaciones para la reutilización de contraseñas y las preguntas de recuperación de cuentas.

Se ha confirmado que el incidente ocurrió a finales de abril de 2018. Chegg informó de un impacto de aproximadamente 40 millones de usuarios actuales y antiguos; el conjunto verificado que se utiliza para las consultas contiene 39 721 127 cuentas. Esta diferencia puede deberse a distintos umbrales de notificación, a la eliminación de filas duplicadas, al alcance de las cuentas verificables y a la parte del conjunto filtrado que se verificó posteriormente. La cifra que se muestra en esta página corresponde al registro verificado que coincide con las consultas de Seguridad de la cuenta de los usuarios.

Los campos de datos que se consideran parte del alcance principal son nombre, correo electrónico, nombre de usuario, hash de contraseña, dirección física y número de teléfono. En otras revisiones oficiales se han mencionado campos sensibles, como la fecha de nacimiento, el intervalo de ingresos de los padres, la confesión religiosa, el origen étnico, la orientación sexual y la discapacidad, para determinados grupos de usuarios durante el proceso de solicitud de becas. Sin embargo, las principales categorías de datos que figuran en esta página se limitan a los campos supervisados de forma habitual en el conjunto de cuentas verificado. Así se evita mostrar al usuario campos excesivos o no confirmados.

Los estudiantes con cuentas de Chegg, los antiguos alumnos, los docentes, los usuarios que reciben apoyo para sus cursos y las personas que utilizan la misma dirección de correo electrónico para cuentas educativas o laborales constituyen el principal grupo de riesgo. Como Chegg se utiliza para alquilar libros de texto y obtener ayuda con el estudio, la redacción y las citas bibliográficas, una filtración proporciona datos propicios para crear mensajes falsos, especialmente durante los periodos académicos, las solicitudes de becas, los periodos de renovación de cuentas y las promociones de descuentos para estudiantes.

Los usuarios que reutilizan contraseñas también corren un riesgo elevado. Si se logran recuperar las contraseñas a partir de los hashes MD5 sin sal criptográfica, los atacantes pueden intentar utilizar la misma combinación de correo electrónico y contraseña en distintos sitios. Los mensajes fraudulentos dirigidos a personas cuyos números de teléfono o direcciones figuran en la filtración pueden parecer más creíbles. Para quienes se registraron en Chegg con una dirección de correo electrónico familiar, una cuenta de su centro educativo o una cuenta de trabajo, las posibles repercusiones son más amplias, ya que se puede intentar acceder a otras cuentas personales, archivos en la nube o servicios corporativos a través de la cuenta educativa.

Se deben cambiar de inmediato las contraseñas de todas las cuentas en las que se utilice la misma contraseña que en Chegg o una similar. La nueva contraseña debe ser única para cada servicio, generarse con un gestor de contraseñas y no haberse utilizado antes en ninguna otra cuenta. Se deben revisar primero la cuenta de correo electrónico, el portal del centro educativo, el servicio de almacenamiento de archivos, la cuenta de redes sociales y la cuenta de pagos, ya que los atacantes suelen dirigirse primero a la cuenta de correo electrónico y después a los procesos de recuperación de otras cuentas.

Se debe activar la autenticación multifactor y revisar las direcciones de correo electrónico y los números de teléfono de recuperación de las cuentas. Antes de hacer clic en enlaces de mensajes sobre Chegg, apoyo para cursos, oportunidades de becas, reembolsos de facturas o verificación de cuentas, se debe comprobar el nombre de dominio. Los usuarios cuya dirección y número de teléfono se hayan filtrado deben extremar la precaución ante llamadas y mensajes que afirmen proceder de servicios de envío, programas de descuentos para estudiantes, servicios de ayuda económica o centros de soporte. Se deben cerrar rápidamente las sesiones sospechosas, los correos de restablecimiento de contraseña y las notificaciones de dispositivos desconocidos, y finalizar las sesiones activas desde las páginas de Seguridad de la cuenta.

La filtración de datos de Chegg demuestra que incluso las cuentas educativas antiguas pueden utilizarse en intentos de toma de control de cuentas años después. Los usuarios deben adoptar hábitos duraderos, como revisar periódicamente sus contraseñas, utilizar un gestor de contraseñas, activar la autenticación multifactor y usar alias de correo electrónico. Utilizar direcciones de correo electrónico distintas para cuentas educativas, de compras, de redes sociales y financieras reduce la probabilidad de que una sola filtración afecte a otras cuentas.

En las cuentas corporativas y educativas, son importantes las políticas que impiden utilizar la misma contraseña que en los servicios para estudiantes, las comprobaciones de contraseñas filtradas y las alertas de sesiones de riesgo. Los equipos de seguridad deben revisar las direcciones de correo electrónico asociadas a Chegg para detectar riesgos de reutilización de contraseñas y pueden solicitar una verificación adicional a los usuarios de alto riesgo. Por su parte, los usuarios pueden obtener protección a largo plazo eliminando cuentas antiguas, reduciendo la información innecesaria de sus perfiles y manteniendo activadas las notificaciones de seguridad.

Si Chegg aparece en el resultado de la consulta de Seguridad de la cuenta, significa que la dirección de correo electrónico correspondiente está incluida en el conjunto verificado de cuentas asociadas a la filtración de datos de Chegg de 2018. Este resultado no significa que su cuenta actual de Chegg siga comprometida hoy; sin embargo, las contraseñas, las direcciones de correo electrónico y la información de perfil utilizadas en el pasado pueden emplearse en intentos de acceso a otras cuentas. Por tanto, la medida prioritaria debe ser cambiar la contraseña y activar la autenticación multifactor en todas las cuentas donde se utilice la misma contraseña.

Aunque la cuenta de Chegg ya no se utilice, se deben revisar la seguridad del correo electrónico, la configuración de recuperación y el historial de contraseñas. El riesgo es mayor si una cuenta educativa, una cuenta de trabajo o un correo electrónico personal se ha visto afectado por el mismo patrón de contraseñas. Los usuarios cuya dirección física o número de teléfono puedan figurar en la filtración deben tener más cuidado con los mensajes de soporte falsos que contengan información personal. En lugar de considerar el resultado de Chegg una notificación antigua e ignorarlo, lo más adecuado es dejar de reutilizar contraseñas, revisar el historial de sesiones y reforzar los canales de recuperación de las cuentas.