تم تسريب بيانات 2.6 مليون مستخدم لتطبيق Duolingo علنًا.

يُعدّ Duolingo أكبر موقع وتطبيق لتعلم اللغات في العالم ، حيث يضم أكثر من 74 مليون مستخدم شهريًا. ووفقًا لموقع Bleeping Computer، فإن تسريب البيانات الشخصية لمستخدمي Duolingo قد يُتيح للمخترقين شنّ هجمات تصيّد إلكتروني مُستهدفة.

في يناير 2023، قام حساب على منتدى للقراصنة ببيع بيانات تم جمعها من 2.6 مليون مستخدم لتطبيق Duolingo مقابل 1500 دولار؛ وقد توقف المنتدى عن العمل منذ ذلك الحين.

تتضمن هذه البيانات معلومات تسجيل الدخول، والأسماء الحقيقية، بالإضافة إلى معلومات غير عامة، بما في ذلك عناوين البريد الإلكتروني والمعلومات الداخلية المتعلقة بخدمة Duolingo. بينما تعرض ملفات تعريف مستخدمي Duolingo الأسماء الحقيقية وأسماء تسجيل الدخول علنًا، تبقى عناوين البريد الإلكتروني سرية.

Dữ liệu 2,6 triệu người dùng Duolingo bị phát tán công khai - Ảnh 1. — عرض الإعلان بيع 2.6 مليون سجل بيانات لمستخدمي Duolingo مقابل 1500 دولار.

أكدت شركة دولينجو لصحيفة ذا ريكورد أن البيانات التي جُمعت وبِيعت سُرقت من الملفات الشخصية العامة، وأن الخدمة تُجري تحقيقًا لمعرفة ما إذا كان ينبغي عليها اتخاذ إجراءات وقائية. مع ذلك، لم تُشر دولينجو إلى أن عناوين البريد الإلكتروني كانت مُدرجة أيضًا ضمن البيانات.

تم أمس نشر بيانات من 2.6 مليون مستخدم على نسخة جديدة من منتدى المخترقين مقابل 2.13 دولار فقط. وقد جُمعت هذه البيانات باستخدام واجهة برمجة تطبيقات (API) متاحة للجمهور منذ مارس 2023.

تتيح واجهة برمجة تطبيقات Duolingo هذه للمستخدمين إمكانية الوصول إلى معلومات الملف الشخصي العامة للمستخدمين. ومع ذلك، من الممكن أيضًا تزويد واجهة برمجة التطبيقات بعنوان بريد إلكتروني والتحقق مما إذا كان هذا العنوان مرتبطًا بحساب Duolingo.

ذكر موقع BleepingComputer أن واجهة برمجة التطبيقات هذه ظلت متاحة للجمهور حتى بعد الإبلاغ عن إساءة استخدامها إلى Duolingo في يناير.

من المحتمل أن يكون المخترق قد أدخل ملايين عناوين البريد الإلكتروني - التي ربما سُرّبت في اختراقات بيانات سابقة - إلى واجهة برمجة التطبيقات (API) لمعرفة ما إذا كانت تنتمي إلى حسابات Duolingo. ثم استُخدمت عناوين البريد الإلكتروني هذه لإنشاء مجموعة بيانات تحتوي على معلومات عامة وغير عامة.

Dữ liệu 2,6 triệu người dùng Duolingo bị phát tán công khai - Ảnh 2. — أعاد المتسللون تحميل بيانات 2.6 مليون مستخدم لتطبيق Duolingo مقابل سعر زهيد للغاية.

تميل الشركات إلى التخلص من البيانات التي تجمعها، لأن معظمها متاح للعموم. مع ذلك، عندما تُخلط البيانات المتاحة للعموم مع بيانات خاصة كأرقام الهواتف وعناوين البريد الإلكتروني، يصبح تسريب المعلومات أكثر خطورة، وقد يُشكل انتهاكًا لقوانين حماية البيانات.

في عام ٢٠٢١، تعرض فيسبوك لتسريب بيانات ضخم بعد إساءة استخدام واجهة برمجة تطبيقات "إضافة صديق" لربط أرقام هواتف بحسابات فيسبوك لـ ٥٣٣ مليون مستخدم. وفرضت مفوضية حماية البيانات الأيرلندية غرامة على فيسبوك قدرها ٢٦٥ مليون يورو (٢٧٥.٥ مليون دولار) لتسببه في هذا التسريب. ومؤخرًا، استُغلت ثغرة في واجهة برمجة تطبيقات تويتر للوصول إلى بيانات وعناوين بريد إلكتروني متاحة للعامة لملايين المستخدمين، مما أدى إلى فتح تحقيق من قبل مفوضية حماية البيانات. ولم توضح دولينجو حتى الآن سبب إبقاء واجهة برمجة التطبيقات هذه متاحة للعامة رغم ورود تقارير عن إساءة استخدامها.

رابط المصدر