Δεδομένα από 2,6 εκατομμύρια χρήστες του Duolingo διέρρευσαν δημόσια.

Το Duolingo είναι ο μεγαλύτερος ιστότοπος και εφαρμογή εκμάθησης γλωσσών στον κόσμο , με πάνω από 74 εκατομμύρια μηνιαίους χρήστες. Σύμφωνα με το Bleeping Computer, η διαρροή των προσωπικών δεδομένων των χρηστών του Duolingo θα μπορούσε να επιτρέψει σε χάκερ να πραγματοποιήσουν στοχευμένες επιθέσεις ηλεκτρονικού "ψαρέματος" (phishing).

Τον Ιανουάριο του 2023, ένας λογαριασμός σε ένα φόρουμ χάκερ πούλησε δεδομένα που συλλέχθηκαν από 2,6 εκατομμύρια χρήστες του Duolingo για 1.500 δολάρια. Το φόρουμ έκτοτε έχει σταματήσει να λειτουργεί.

Αυτά τα δεδομένα περιλαμβάνουν στοιχεία σύνδεσης, πραγματικά ονόματα, καθώς και μη δημόσιες πληροφορίες, συμπεριλαμβανομένων διευθύνσεων email και εσωτερικών πληροφοριών που σχετίζονται με την υπηρεσία του Duolingo. Ενώ τα προφίλ χρηστών του Duolingo εμφανίζουν δημόσια πραγματικά ονόματα και ονόματα σύνδεσης, οι διευθύνσεις email παραμένουν ιδιωτικές.

Η διαφήμιση προσέφερε την πώληση 2,6 εκατομμυρίων αρχείων δεδομένων χρηστών του Duolingo για 1.500 δολάρια.

Η Duolingo επιβεβαίωσε στο TheRecord ότι τα δεδομένα που συλλέχθηκαν και πωλήθηκαν ελήφθησαν από δημόσια προφίλ και η υπηρεσία διερευνά εάν θα πρέπει να λάβει προληπτικά μέτρα. Ωστόσο, η Duolingo δεν ανέφερε το γεγονός ότι στα δεδομένα αναφέρονταν επίσης διευθύνσεις email.

Δεδομένα από 2,6 εκατομμύρια χρήστες δημοσιεύθηκαν χθες σε μια νέα έκδοση του φόρουμ χάκερ για μόλις 2,13 δολάρια. Αυτά τα δεδομένα συλλέχθηκαν χρησιμοποιώντας μια δημόσια κοινόχρηστη διεπαφή προγραμματισμού εφαρμογών (API) από τον Μάρτιο του 2023.

Αυτό το API του Duolingo επιτρέπει στους χρήστες να υποβάλλουν πρόσβαση στις πληροφορίες δημόσιου προφίλ των χρηστών. Ωστόσο, είναι επίσης δυνατό να δώσετε μια διεύθυνση email στο API και να επαληθεύσετε εάν αυτή η διεύθυνση είναι συνδεδεμένη με έναν λογαριασμό Duolingo.

Το BleepingComputer δήλωσε ότι αυτό το API παρέμεινε δημόσια διαθέσιμο ακόμη και μετά την αναφορά κακής χρήσης του στο Duolingo τον Ιανουάριο.

Είναι πιθανό ο χάκερ να τροφοδότησε εκατομμύρια διευθύνσεις email —πιθανώς διαρροές σε προηγούμενες παραβιάσεις δεδομένων— στο API για να δει αν ανήκαν σε λογαριασμούς Duolingo. Αυτές οι διευθύνσεις email χρησιμοποιήθηκαν στη συνέχεια για τη δημιουργία ενός συνόλου δεδομένων που περιέχει δημόσιες και μη δημόσιες πληροφορίες.

Χάκερ ανέβασαν ξανά τα δεδομένα 2,6 εκατομμυρίων χρηστών του Duolingo σε πολύ χαμηλή τιμή.

Οι εταιρείες τείνουν να απορρίπτουν τα δεδομένα που συλλέγουν, καθώς τα περισσότερα από αυτά είναι ήδη δημόσια διαθέσιμα. Ωστόσο, όταν τα δημόσια διαθέσιμα δεδομένα αναμειγνύονται με ιδιωτικά δεδομένα, όπως αριθμούς τηλεφώνου και διευθύνσεις ηλεκτρονικού ταχυδρομείου, η διαρροή πληροφοριών γίνεται πιο επικίνδυνη και ενδεχομένως παραβιάζει τους νόμους περί προστασίας δεδομένων.

Το 2021, το Facebook υπέστη μαζική διαρροή δεδομένων μετά την κακή χρήση του API "Προσθήκη Φίλου" για τη σύνδεση τηλεφωνικών αριθμών με τους λογαριασμούς 533 εκατομμυρίων χρηστών στο Facebook. Η Ιρλανδική Επιτροπή Προστασίας Δεδομένων (DPC) επέβαλε πρόστιμο στο Facebook ύψους 265 εκατομμυρίων ευρώ (275,5 εκατομμύρια δολάρια) για την πρόκληση αυτής της διαρροής δεδομένων. Πιο πρόσφατα, ένα σφάλμα στο API του Twitter χρησιμοποιήθηκε για την πρόσβαση σε δημόσια διαθέσιμα δεδομένα και διευθύνσεις email εκατομμυρίων χρηστών, γεγονός που οδήγησε σε έρευνα της DPC. Η Duolingo δεν έχει ακόμη εξηγήσει γιατί άφησε αυτό το API δημόσια προσβάσιμο, παρά τις αναφορές για κακή χρήση.

Σύνδεσμος πηγής: https://thanhnien.vn/du-lieu-26-trieu-nguoi-dung-duolingo-bi-phat-tan-cong-khai-185230824000226228.htm