Утечка данных Chegg

Основные типы данных, наличие которых подтверждено в утечке Chegg, адреса электронной почты, имена, имена пользователей, пароли, номера телефонов и физические адреса. Даже один адрес электронной почты представляет ценность для фишинга и атак с проверкой доступа к аккаунтам, а имя и имя пользователя позволяют сделать такие атаки более персонализированными. Если в данных аккаунта есть физический адрес или номер телефона, злоумышленники могут подготовить более убедительные уведомления, поддельные сообщения с выдуманными объяснениями проблем с доставкой или звонить, выдавая себя за сотрудников службы поддержки.

Наиболее опасный элемент утечки, хеши паролей. Из-за использования слабого алгоритма MD5 без соли вероятность подбора паролей особенно высока, если они короткие, основаны на словарных словах или используются повторно. Если студент или выпускник использовал тот же пароль для электронной почты, учебного портала, сервиса хранения файлов или платёжного аккаунта, риск выходит за пределы аккаунта Chegg. Поэтому утечку данных Chegg следует рассматривать не просто как давний инцидент с образовательным аккаунтом, а как более широкую угрозу безопасности цифровой идентичности, которая может затрагивать повторно используемые пароли и контрольные вопросы для восстановления аккаунтов.

Подтверждено, что инцидент произошёл в конце апреля 2018 года. По сообщению Chegg, он затронул около 40 миллионов нынешних и бывших пользователей; проверенный набор данных для поиска содержит 39 721 127 аккаунтов. Разница может объясняться различными критериями учёта в отчётности, удалением дублирующихся строк, кругом аккаунтов, которые удалось проверить, и тем, какая часть утёкшего набора данных была впоследствии проверена. Число на этой странице отражает количество подтверждённых записей, с которыми сопоставляются данные при пользовательских проверках в разделе «Безопасность аккаунтов».

В основной перечень подтверждённых полей входят имя, адрес электронной почты, имя пользователя, хеш пароля, физический адрес и номер телефона. В дополнительных официальных обзорах для отдельных групп пользователей упоминались и конфиденциальные сведения, предоставленные при подаче заявок на стипендии: дата рождения, диапазон доходов родителей, религиозная принадлежность, этническое происхождение, сексуальная ориентация и наличие инвалидности. Однако основные категории данных, указанные на этой странице, ограничены полями, которые регулярно отслеживаются в проверенном наборе данных об аккаунтах. Это позволяет не показывать пользователю избыточные или неподтверждённые поля.

В основную группу риска входят студенты с аккаунтами Chegg, выпускники, преподаватели, пользователи, получающие помощь в учёбе, и люди, использующие тот же адрес электронной почты для учебных или рабочих аккаунтов. Поскольку Chegg используется для аренды учебников, помощи в учёбе, написании работ и оформлении ссылок на источники, утечка создаёт благоприятную информационную основу для поддельных сообщений, особенно во время учебных периодов, подачи заявок на стипендии, продления аккаунтов и предоставления студенческих скидок.

Повышенному риску также подвергаются пользователи, которые повторно используют пароли. Если хеши MD5 без соли удастся взломать, злоумышленники могут попробовать ту же комбинацию адреса электронной почты и пароля на других сайтах. Для людей, чьи номера телефонов или адреса попали в утечку, мошеннические сообщения могут выглядеть более правдоподобно. У тех, кто зарегистрировался в Chegg с помощью семейного адреса электронной почты, учебного или рабочего аккаунта, возможные последствия шире: через образовательный аккаунт можно попытаться получить доступ к другим личным аккаунтам, облачным файлам или корпоративным сервисам.

Немедленно смените пароли во всех аккаунтах, где используется тот же или похожий пароль, что и в Chegg. Новый пароль должен быть уникальным для каждого сервиса, созданным с помощью менеджера паролей и ранее не использовавшимся ни в одном другом аккаунте. В первую очередь проверьте электронную почту, учебный портал, сервис хранения файлов, аккаунты в социальных сетях и платёжные аккаунты: злоумышленники обычно сначала атакуют почтовый аккаунт, а затем используют процедуры восстановления доступа к другим аккаунтам.

Включите многофакторную аутентификацию и проверьте адреса электронной почты и номера телефонов для восстановления доступа. Прежде чем переходить по ссылкам в сообщениях о Chegg, помощи в учёбе, стипендиях, возврате оплаты по счетам или подтверждении аккаунта, проверяйте доменное имя. Если ваш адрес и номер телефона попали в утечку, будьте особенно осторожны со звонками и сообщениями от тех, кто представляется сотрудниками служб доставки, программ студенческих скидок, финансовой помощи или центров поддержки. Подозрительные сеансы, письма о сбросе пароля и уведомления о неизвестных устройствах следует оперативно закрывать, а активные сеансы, завершать на страницах раздела «Безопасность аккаунтов».

Утечка данных Chegg показывает, что даже старые образовательные аккаунты могут использоваться в попытках захвата аккаунтов спустя годы. Стоит выработать устойчивые привычки: регулярно проверять пароли, пользоваться менеджером паролей, включать многофакторную аутентификацию и использовать псевдонимы адресов электронной почты. Отдельные адреса электронной почты для учёбы, покупок, социальных сетей и финансовых аккаунтов снижают вероятность того, что одна утечка затронет другие аккаунты.

Для корпоративных и учебных аккаунтов важны правила, запрещающие использовать те же пароли, что и в студенческих сервисах, проверки паролей на наличие в утечках и уведомления о рискованных сеансах. Командам безопасности следует оценивать риск повторного использования паролей для адресов электронной почты, связанных с Chegg; для пользователей с высоким риском они могут запрашивать дополнительную проверку. Со стороны пользователя долгосрочную защиту обеспечивают удаление старых аккаунтов, сокращение объёма ненужных сведений в профиле и сохранение включённых уведомлений безопасности.

Если при проверке в разделе «Безопасность аккаунтов» появляется результат Chegg, это означает, что соответствующий адрес электронной почты входит в проверенный набор аккаунтов, связанных с утечкой данных Chegg в 2018 году. Такой результат не означает, что ваш нынешний аккаунт Chegg до сих пор скомпрометирован. Однако пароли, адреса электронной почты и сведения профиля, использовавшиеся в прошлом, могут применяться в попытках получить доступ к другим аккаунтам. Поэтому в первую очередь следует сменить пароль и включить многофакторную аутентификацию везде, где используется тот же пароль.

Даже если вы больше не пользуетесь аккаунтом Chegg, проверьте безопасность электронной почты, настройки восстановления доступа и историю паролей. Риск выше, если учебный аккаунт, рабочий аккаунт или личная электронная почта также затронуты из-за использования паролей, построенных по тому же шаблону. Если ваш физический адрес или номер телефона могли попасть в утечку, внимательнее относитесь к поддельным сообщениям от службы поддержки, содержащим личные сведения. Вместо того чтобы считать результат Chegg старым уведомлением и игнорировать его, лучше отказаться от повторного использования паролей, проверить историю сеансов и усилить защиту каналов восстановления доступа к аккаунтам.