Chegg enttäuscht erneut: Ein dritter Datenverstoß in drei Jahren
Am 28. April gab das US-amerikanische Bildungstechnologieunternehmen Chegg zu, einen Datenverstoß erlitten zu haben. In einem Brief an die Betroffenen gab Dana Jewell, Cheggs Vizepräsidentin, bekannt, dass am 9. April ein Hacker die Systeme des Unternehmens kompromittiert und mit den Aufzeichnungen von rund 700 gegenwärtigen und ehemaligen Mitarbeitern davongekommen sei.
Einen Tag später erfuhr Chegg von dem Verstoß und informierte sofort die Strafverfolgungsbehörden. Dana Jewell forderte potenzielle Opfer auf, wachsamer zu sein, erklärte ihnen, dass sie auf Kosten des Unternehmens Kreditüberwachungsdienste in Anspruch nehmen können, und versprach, dass Chegg versuchen werde, seine Sicherheitsvorkehrungen zu verbessern und ähnliche Vorfälle in Zukunft zu vermeiden. Es ist weit entfernt von der größten oder wirkungsvollsten Verletzung, die Sie jemals sehen werden. Wenn Sie sie jedoch genauer untersuchen, werden Sie feststellen, dass das Problem schwerwiegender ist, als es zunächst erscheint.
Table of Contents
Chegg ist nicht bereit, offen über die Verletzung zu sprechen
Jeden Tag werden die Daten von Millionen von Menschen im Internet durchgesickert, und angesichts dessen scheinen nur 700 Mitarbeiter wie ein Blitz in der Pfanne zu sein. Wenn Sie die Zahl jedoch in einen Kontext setzen, werden Sie feststellen, dass der Verstoß ziemlich bedeutend ist. Laut Cheggs jüngstem Geschäftsbericht hatte das Unternehmen Ende 2019 etwas mehr als 1.400 Mitarbeiter, was das Leck plötzlich ziemlich ernst macht. Wie bereits erwähnt, arbeiten einige der vom Angriff des letzten Monats betroffenen Personen nicht mehr für Chegg, aber es bleibt die Tatsache, dass das Unternehmen ihre Daten nicht vor unbefugtem Zugriff geschützt hat.
Die Frage, wie dies geschah und warum, bleibt unbeantwortet. Chegg hat den Verstoß nicht in einem Zulassungsantrag offengelegt, und es gibt keine Pressemitteilung. Die Anfragen von TechCrunch nach weiteren Kommentaren wurden ebenfalls abgelehnt.
Die breite Öffentlichkeit wäre sich des Angriffs nicht bewusst, wenn es keine Vorschriften gäbe, die vorschreiben, dass Unternehmen, die von Hackern getroffen wurden, in einigen Staaten ihre Benachrichtigungen über Datenschutzverletzungen an die Generalstaatsanwälte weitergeben müssen. In der Tat ist die Anzahl der Betroffenen relativ gering, aber als Aktiengesellschaft hat Chegg Aktionäre, die genau wissen möchten, was zu einem bestimmten Zeitpunkt vor sich geht. Sie sind möglicherweise nicht sehr zufrieden mit den Details rund um diesen speziellen Verstoß.
Die Hacker haben Sozialversicherungsnummern gestohlen
Möglicherweise haben Sie bemerkt, dass Chegg potenziellen Opfern kostenlose Kreditüberwachungsdienste anbietet, und diejenigen unter Ihnen, die genügend Benachrichtigungen über Datenschutzverletzungen gelesen haben, wissen, dass dies ein schlechtes Zeichen ist. Dies bedeutet normalerweise, dass die Daten sensibel genug sind, um Identitätsdiebstahl zu erleichtern, und dass die Cyberkriminellen laut Mitteilung mit den Namen und Sozialversicherungsnummern der betroffenen Mitarbeiter sicher genug sind.
Chegg ist kein Unbekannter bei Datenschutzverletzungen
Bei diesem speziellen Angriff waren die Benutzer von Chegg nicht betroffen, dies war jedoch bei früheren Verstößen nicht der Fall. Die Pluralform von "Verletzung" ist kein Tippfehler. Chegg erlitt seinen ersten Angriff im April 2018, erfuhr jedoch erst fünf Monate später im September davon. Die Anzahl der betroffenen Benutzer betrug 40 Millionen, und die durchgesickerten Daten umfassten E-Mails, physische Adressen und gehashte Passwörter.
Im Jahr 2019 kündigte Thinkful, die zu dieser Zeit neueste Tochtergesellschaft von Chegg, ebenfalls einen Datenverstoß an. Die Anzahl der Betroffenen blieb unbekannt, und die Entwickler-Schulungsplattform sagte nicht, welche Art von Daten in die falschen Hände gerieten. Was wir wissen ist, dass das Zurücksetzen von Passwörtern nach beiden Angriffen erzwungen wurde.
Wir haben auf diesen Seiten oft gesagt, dass niemand gegen Cyberangriffe immun ist, aber die Tatsache, dass Chegg in so vielen Jahren drei Datenverletzungen erlitten hat, zeigt deutlich, dass das Unternehmen ernsthafte Probleme mit der Cybersicherheit hat. Hoffen wir, dass jemand sie vor dem nächsten erfolgreichen Angriff anspricht.
