La FTC demanda a Chegg por exponer los números de seguridad social y otros datos clave de millones de usuarios

Noticias IBL | Nueva York

La Comisión Federal de Comercio (FTC) demandó la semana pasada al proveedor de tecnología educativa Chegg, Inc (NYSE: CHGG) por “sus prácticas de seguridad laxas que expusieron información confidencial sobre millones de sus clientes y empleados, incluidos números de seguro social, direcciones de correo electrónico y contraseñas”.

“Estas prácticas dieron como resultado cuatro violaciones de datos separadas en un lapso de solo unos años, lo que llevó a la apropiación indebida de información personal sobre aproximadamente 40 millones de consumidores”, afirma queja.

Un componente clave de la infraestructura de tecnología de la información de Chegg era Simple Storage Service (S3), un servicio de almacenamiento en la nube ofrecido por Amazon Web Services (AWS) que Chegg usaba para almacenar una cantidad sustancial de datos de clientes y empleados. La FTC alega que:

• Chegg permitió a los empleados y contratistas externos acceder a las bases de datos de S3 con una sola clave de acceso que proporcionaba privilegios administrativos completos sobre toda la información.
• Chegg no requería autenticación multifactor para el acceso de la cuenta a las bases de datos S3.
• En lugar de cifrar los datos, Chegg almacenó la información personal de los usuarios y empleados en texto sin formato.
• Hasta al menos abril de 2018, Chegg “protegía” las contraseñas con funciones hash criptográficas obsoletas.
• Hasta al menos abril de 2020, Chegg no proporcionó capacitación adecuada sobre seguridad de datos para empleados y contratistas.
• Chegg no contaba con procesos para inventariar y eliminar la información personal de los clientes y empleados una vez que ya no había una necesidad comercial de mantenerla.
• Chegg no supervisó sus redes adecuadamente para detectar intentos no autorizados de infiltrarse y transferir ilegalmente datos confidenciales fuera de su sistema.

En cada uno de los cuatro incidentes citados en la demanda, la FTC alega que Chegg no tomó medidas de precaución simples que probablemente habrían ayudado a prevenir o detectar la amenaza a los datos de consumidores y empleados, por ejemplo, exigir a los empleados que tomaran capacitación en seguridad de datos en el signos reveladores de un intento de phishing.

La FTC sugiere realizar capacitaciones de seguridad internas periódicas y proporciona Cybersecurity for Small Business resources para inspirarte.

Ganancias del tercer trimestre de 2022 de Chegg

Por otro lado, Chegg anunció esta semana su las ganancias del tercer trimestre, que muestran una disminución del 4 % año tras año en los ingresos netos, a $164,7 millones, una disminución del 4 % año tras año.