Scribd Inc., het bedrijf achter Scribd, SlideShare, Everand en Fable, is gehackt. Een onbevoegde partij kreeg toegang tot interne systemen en heeft gebruikersgegevens ingezien. Bij een deel van de accounts gaat het om gevoeligere data, zoals betaalgeschiedenis. Gebruikers moeten hun wachtwoord wijzigen.
Vanuit de verkregen toegang kwamen de aanvallers ook bij andere interne systemen terecht, waar ze gebruikersgegevens konden inzien. Dat meldt het bedrijf op een supportpagina en in een e-mail aan getroffen klanten. Hoeveel accounts geraakt zijn, is nog niet bekend.
Voor de meeste accounts gaat het om basisgegevens, maar bij een kleinere groep ligt dat anders. Volgens berichtgeving over de e-mail die Scribd verstuurde, kunnen daar ook het e-mailadres, de betaalgeschiedenis, de kaartuitgever, het land, de vervaldatum en de laatste vier cijfers van een betaalkaart zijn ingezien. Volledige kaartnummers zijn niet blootgesteld. Op zijn openbare pagina noemt Scribd zelf geen specifieke datatypes.
“We hebben het getroffen systeem beveiligd en de ongeautoriseerde toegang beëindigd”, schrijft Scribd aan klanten. “Er zijn geen aanwijzingen dat deze gegevens zijn misbruikt, maar we informeren u uit voorzorg, zodat u zelf stappen kunt ondernemen om uw gegevens te beschermen.”
Vier diensten, één moederbedrijf
Scribd Inc. is allang niet meer alleen een platform om documenten online te publiceren. SlideShare, in 2006 opgericht als dienst voor presentaties, werd in 2012 door LinkedIn overgenomen en in 2020 doorverkocht aan Scribd. LinkedIn sprak toen over ongeveer 100 miljoen gebruikers. Everand ging in 2023 van start als aparte dienst voor e-books, audioboeken en tijdschriften. In 2025 kwam daar de social-readingdienst Fable bij, een platform voor online boekenclubs.
Volgens het bedrijf zelf bereikte het portfolio dit jaar meer dan een miljard gebruikers. Wel gaat het daarbij om het gezamenlijke bereik van de vier producten, niet om unieke actieve gebruikers.
Met name SlideShare zorgt ervoor dat het lek ook de zakelijke markt raakt. Het platform groeide onder LinkedIn uit tot een standaardkanaal voor het openbaar verspreiden van B2B-presentaties, conferentieslides, whitepapers en onderzoeksrapporten. Veel marketing- en communicatieprofessionals maakten hiervoor accounts aan met zakelijke e-mailadressen of betaalden downloads met een zakelijke creditcard. Daardoor ontstaat voor organisaties een risico op shadow-it, oftewel vergeten werknemersaccounts waarvan de inloggegevens mogelijk overeenkomen met actieve bedrijfswachtwoorden.
Wachtwoord wijzigen en alert op phishing
Scribd adviseert gebruikers uit voorzorg hun wachtwoord voor alle vier de diensten te wijzigen. Daarnaast waarschuwt het bedrijf voor phishing. Berichten waarin wordt gevraagd om wachtwoorden of persoonlijke gegevens vragen, zijn niet te vertrouwen. Het bedrijf vraagt naar eigen zeggen nooit om die informatie via e-mail, sms of telefoon.
Omdat bij een deel van de accounts gedeeltelijke creditcardgegevens en e-mailadressen zijn buitgemaakt, ligt het gevaar van gerichte spearphishing op de loer. Kwaadwillenden kunnen de combinatie van kaartuitgever en de laatste vier cijfers misbruiken voor geloofwaardige nepberichten. Ook credential stuffing vormt een direct gevaar voor gebruikers die hetzelfde wachtwoord elders hergebruiken.
Over de oorzaak van de hack en mogelijke daders zegt Scribd niets. Het bedrijf meldt wel dat het de kwetsbaarheid heeft gedicht en externe forensische en cybersecurity-experts heeft ingeschakeld. Ook zijn de politie en de relevante gegevensbeschermingsautoriteiten ingelicht.