Fuite de données chez Chegg

Les principaux types de données dont la présence dans la fuite de Chegg a été confirmée sont les adresses e-mail, les noms, les noms d’utilisateur, les mots de passe, les numéros de téléphone et les adresses postales. Une adresse e-mail constitue à elle seule une information utile pour l’hameçonnage et les attaques visant à tester l’accès aux comptes. Les noms et les noms d’utilisateur permettent de personnaliser ces attaques. Pour les comptes comportant une adresse postale ou un numéro de téléphone, les attaquants peuvent préparer des notifications plus convaincantes, de faux messages prenant prétexte d’une livraison ou des appels se faisant passer pour un centre d’assistance.

Les hachages de mots de passe constituent l’élément le plus critique. L’utilisation de MD5, peu robuste et sans sel, rend le risque de retrouver les mots de passe particulièrement élevé lorsqu’ils sont courts, fondés sur des mots du dictionnaire ou réutilisés. Si un étudiant ou un ancien étudiant a utilisé le même mot de passe pour sa messagerie, le portail de son établissement, son service de stockage de fichiers ou son compte de paiement, le risque dépasse le seul compte Chegg. Cette fuite de données ne doit donc pas être considérée comme un simple incident ancien touchant un compte lié aux études, mais comme un risque plus large pour la sécurité de l’identité, qui peut concerner la réutilisation des mots de passe et les questions de récupération de compte.

Il a été confirmé que l’incident s’est produit à la fin du mois d’avril 2018. Selon Chegg, il aurait touché environ 40 millions d’utilisateurs actuels et anciens; l’ensemble vérifié utilisé pour les recherches comprend 39 721 127 comptes. Cet écart peut s’expliquer par des seuils de déclaration différents, la suppression de lignes en double, le périmètre des comptes pouvant être vérifiés et la part des données divulguées qui a été vérifiée par la suite. Le nombre affiché sur cette page correspond aux enregistrements vérifiés pour lesquels une correspondance est trouvée lors des recherches des utilisateurs dans la rubrique Sécurité des comptes.

Le périmètre principal retenu pour les champs de données comprend le nom, l’adresse e-mail, le nom d’utilisateur, le hachage du mot de passe, l’adresse postale et le numéro de téléphone. Des analyses officielles complémentaires ont mentionné, pour certains groupes d’utilisateurs ayant effectué une demande de bourse, des champs sensibles tels que la date de naissance, la tranche de revenus des parents, la confession religieuse, l’origine ethnique, l’orientation sexuelle et le handicap. Toutefois, les principales catégories de données présentées sur cette page se limitent aux champs régulièrement suivis dans l’ensemble de comptes vérifiés. Cela évite de présenter aux utilisateurs des champs au-delà de ce périmètre ou dont la présence n’est pas confirmée.

Les étudiants disposant d’un compte Chegg, les anciens étudiants, les enseignants, les utilisateurs bénéficiant d’un soutien pour leurs cours et les personnes utilisant la même adresse e-mail pour leurs comptes scolaires ou professionnels constituent le principal groupe à risque. Chegg proposant des services de location de manuels scolaires, d’aide aux études, de rédaction et de citation des sources, une fuite fournit des données propices à la création de faux messages, notamment pendant les périodes d’activité universitaire, de demande de bourse, de renouvellement de compte et d’offres de réductions étudiantes.

Les utilisateurs qui réutilisent leurs mots de passe sont également exposés à un risque élevé. Si les mots de passe sont retrouvés à partir des hachages MD5 sans sel, les attaquants peuvent essayer la même combinaison d’adresse e-mail et de mot de passe sur différents sites. Les messages frauduleux peuvent paraître plus crédibles lorsqu’ils contiennent le numéro de téléphone ou l’adresse de la personne visée. Pour les personnes inscrites sur Chegg avec une adresse e-mail familiale, un compte scolaire ou un compte professionnel, les répercussions potentielles sont plus larges : le compte lié aux études peut servir de point de départ à des tentatives d’accès à d’autres comptes personnels, à des fichiers stockés dans le cloud ou à des services d’entreprise.

Les mots de passe doivent être changés immédiatement sur tous les comptes utilisant un mot de passe identique ou similaire à celui de Chegg. Le nouveau mot de passe doit être propre à chaque service, généré à l’aide d’un gestionnaire de mots de passe et n’avoir jamais été utilisé sur un autre compte. La messagerie, le portail de l’établissement, le service de stockage de fichiers, les comptes de réseaux sociaux et les comptes de paiement doivent être vérifiés en priorité. Les attaquants ciblent généralement d’abord la messagerie, puis les procédures de récupération des autres comptes.

L’authentification multifacteur doit être activée, et les adresses e-mail et numéros de téléphone utilisés pour la récupération des comptes doivent être vérifiés. Avant de cliquer sur un lien dans un message concernant Chegg, le soutien aux cours, des possibilités de bourses, le remboursement de factures ou la vérification d’un compte, il convient de vérifier le nom de domaine. Les utilisateurs dont l’adresse et le numéro de téléphone ont été divulgués doivent faire preuve d’une vigilance accrue face aux appels et messages prétendant provenir de services de livraison, de réductions étudiantes, d’aide financière ou de centres d’assistance. Il convient de fermer rapidement les sessions suspectes, les e-mails de réinitialisation de mot de passe et les notifications concernant des appareils inconnus, et de mettre fin aux sessions actives depuis les pages Sécurité des comptes.

La fuite de données de Chegg montre que même d’anciens comptes liés aux études peuvent être exploités dans des tentatives de prise de contrôle de comptes des années plus tard. Les utilisateurs doivent adopter des habitudes durables : vérifier régulièrement leurs mots de passe, utiliser un gestionnaire de mots de passe, activer l’authentification multifacteur et utiliser des alias d’adresse e-mail. Des adresses e-mail distinctes pour les études, les achats, les réseaux sociaux et les comptes financiers réduisent le risque qu’une seule fuite ait des répercussions sur d’autres comptes.

Pour les comptes professionnels et scolaires, il est important de mettre en place des règles interdisant l’utilisation du même mot de passe que pour les services destinés aux étudiants, des vérifications de mots de passe divulgués et des alertes sur les sessions à risque. Les équipes de sécurité doivent examiner les adresses e-mail associées à Chegg afin d’évaluer les risques de réutilisation de mots de passe et peuvent demander une vérification supplémentaire aux utilisateurs à haut risque. Du côté des utilisateurs, supprimer les anciens comptes, limiter les informations de profil superflues et maintenir les notifications de sécurité activées contribue à une protection à long terme.

Si Chegg apparaît dans les résultats d’une recherche dans la rubrique Sécurité des comptes, cela signifie que l’adresse e-mail concernée figure dans l’ensemble de comptes vérifiés associé à la fuite de données de Chegg de 2018. Ce résultat ne signifie pas que votre compte Chegg actuel est encore compromis aujourd’hui. En revanche, les mots de passe, adresses e-mail et informations de profil utilisés par le passé peuvent être exploités dans des tentatives visant d’autres comptes. La priorité consiste donc à changer le mot de passe et à activer l’authentification multifacteur sur tous les comptes où le même mot de passe est utilisé.

Même si le compte Chegg n’est plus utilisé, la sécurité de la messagerie, les paramètres de récupération et l’historique des mots de passe doivent être vérifiés. Le risque est plus élevé si un compte lié aux études, un compte professionnel ou une messagerie personnelle est concerné par le même schéma de mot de passe. Les utilisateurs dont l’adresse postale ou le numéro de téléphone pourrait figurer dans la fuite doivent être particulièrement vigilants face aux faux messages d’assistance contenant des informations personnelles. Plutôt que d’ignorer le résultat Chegg en le considérant comme une ancienne notification, la démarche la plus appropriée consiste à cesser de réutiliser les mots de passe, à examiner l’historique des sessions et à renforcer les moyens de récupération des comptes.