Vazamento de dados de Chegg

Os principais tipos de dados confirmados no vazamento da Chegg são endereços de e-mail, nomes, nomes de usuário, senhas, números de telefone e endereços físicos. Um endereço de e-mail, por si só, já é um dado valioso para phishing e ataques que testam o acesso a contas; o nome e o nome de usuário permitem personalizar esses ataques. Nas contas que contêm endereço físico ou número de telefone, os invasores podem elaborar notificações mais convincentes, mensagens falsas sob o pretexto de uma entrega ou ligações em que se passam por uma central de atendimento.

O elemento mais crítico são os hashes de senhas. O uso do MD5, um método fraco e sem salt, torna especialmente alta a probabilidade de quebra de senhas curtas, baseadas em palavras de dicionário ou reutilizadas. Se um estudante ou ex-aluno usava a mesma senha na conta de e-mail, no portal da instituição de ensino, em um serviço de armazenamento de arquivos ou em uma conta de pagamentos, o risco vai além da conta da Chegg. Por isso, o vazamento de dados da Chegg não deve ser visto apenas como um incidente antigo envolvendo uma conta educacional, mas como um risco amplo à segurança da identidade, que pode afetar a reutilização de senhas e as perguntas de recuperação de contas.

A data do incidente foi confirmada como o fim de abril de 2018. A Chegg informou um impacto de aproximadamente 40 milhões de usuários ativos e antigos; o conjunto verificado usado nas consultas contém 39.721.127 contas. Essa diferença pode decorrer de diferentes critérios de contabilização, da remoção de linhas duplicadas, do escopo das contas verificáveis e da parcela do conjunto vazado que foi verificada posteriormente. O número exibido nesta página representa o registro verificado identificado nas consultas de Segurança da conta feitas pelos usuários.

O principal escopo aceito para os campos de dados inclui nome, e-mail, nome de usuário, hash de senha, endereço físico e número de telefone. Análises oficiais adicionais mencionaram campos sensíveis, como data de nascimento, faixa de renda dos pais, denominação religiosa, origem étnica, orientação sexual e deficiência, para determinados grupos de usuários durante o processo de candidatura a bolsas de estudo. No entanto, as principais categorias de dados listadas nesta página se limitam aos campos monitorados regularmente no conjunto verificado de contas. Isso evita a exibição de campos excessivos ou não confirmados ao usuário.

Estudantes com contas na Chegg, ex-alunos, professores, usuários que recebem apoio para disciplinas e pessoas que usam o mesmo endereço de e-mail em contas escolares ou profissionais formam o principal grupo de risco. Como a Chegg é usada para aluguel de livros didáticos, auxílio nos estudos e serviços de escrita e citações, um vazamento fornece dados favoráveis à criação de mensagens falsas, especialmente durante períodos letivos, candidaturas a bolsas de estudo, renovações de contas e ofertas de descontos para estudantes.

Usuários que reutilizam senhas também correm alto risco. Se os hashes MD5 sem salt forem quebrados, os invasores poderão testar a mesma combinação de e-mail e senha em diferentes sites. Para pessoas cujos números de telefone ou endereços estão no conjunto, as mensagens fraudulentas podem parecer mais realistas. Para quem se cadastrou na Chegg com um e-mail da família, uma conta escolar ou uma conta profissional, as consequências podem ser mais amplas, pois é possível tentar acessar outras contas pessoais, arquivos na nuvem ou serviços corporativos por meio da conta educacional.

Altere imediatamente as senhas de todas as contas em que você usa uma senha igual ou semelhante à da Chegg. A nova senha deve ser exclusiva para cada serviço, gerada com um gerenciador de senhas e nunca ter sido usada em outra conta. Verifique primeiro a conta de e-mail, o portal da instituição de ensino, o serviço de armazenamento de arquivos, a conta de rede social e a conta de pagamentos, pois os invasores costumam atacar primeiro o e-mail e, depois, os processos de recuperação de outras contas.

Ative a autenticação multifator e revise os endereços de e-mail e números de telefone usados para recuperar contas. Antes de clicar em links de mensagens sobre a Chegg, apoio para disciplinas, oportunidades de bolsas de estudo, reembolsos de faturas ou verificação de contas, confira o nome de domínio. Se seu endereço e telefone foram vazados, redobre o cuidado com ligações e mensagens que aleguem vir de serviços de entrega, programas de descontos para estudantes, assistência financeira ou centrais de atendimento. Feche rapidamente sessões suspeitas, e-mails de redefinição de senha e notificações de dispositivos desconhecidos, e encerre as sessões ativas nas páginas de Segurança da conta.

O vazamento de dados da Chegg mostra que até contas educacionais antigas podem ser usadas em tentativas de tomada de contas anos depois. Adote hábitos duradouros, como verificar suas senhas regularmente, usar um gerenciador de senhas, ativar a autenticação multifator e usar aliases de e-mail. Usar endereços de e-mail separados para educação, compras, redes sociais e contas financeiras reduz a probabilidade de um único vazamento se propagar para outras contas.

Em contas corporativas e escolares, são importantes as políticas que impedem o uso da mesma senha utilizada em serviços para estudantes, as verificações de senhas vazadas e os alertas de sessões de risco. As equipes de segurança devem avaliar os endereços de e-mail associados à Chegg quanto ao risco de reutilização de senhas e podem solicitar uma verificação adicional para usuários de alto risco. Para você, excluir contas antigas, reduzir informações desnecessárias no perfil e manter as notificações de segurança ativadas são medidas que oferecem proteção de longo prazo.

Se um resultado da Chegg aparecer na consulta de Segurança da conta, isso significa que o endereço de e-mail consultado está no conjunto verificado de contas associado ao vazamento de dados da Chegg de 2018. Esse resultado não significa que sua conta atual da Chegg continue comprometida hoje; no entanto, senhas, endereços de e-mail e informações de perfil usados no passado podem ser usados em tentativas de acesso a outras contas. Por isso, a prioridade deve ser alterar a senha e ativar a autenticação multifator em todos os serviços nos quais você usa a mesma senha.

Mesmo que você não use mais a conta da Chegg, verifique a segurança do e-mail, as configurações de recuperação e o histórico de senhas. O risco é maior se uma conta educacional, uma conta profissional ou um e-mail pessoal tiver sido afetado pelo mesmo padrão de senha. Se seu endereço físico ou número de telefone puder estar no vazamento, tenha mais cuidado com mensagens falsas de suporte que contenham informações pessoais. Em vez de tratar o resultado da Chegg como uma notificação antiga e ignorá-lo, a abordagem mais adequada é parar de reutilizar senhas, revisar o histórico de sessões e reforçar os canais de recuperação de contas.