נתונים של 2.6 מיליון משתמשי דולינגו דלפו לציבור

Duolingo הוא אתר ואפליקציית לימוד השפות הגדולים בעולם , עם למעלה מ-74 מיליון משתמשים חודשיים. על פי Bleeping Computer, המידע האישי שדלף של משתמשי Duolingo יאפשר להאקרים לבצע התקפות פישינג ממוקדות.

בינואר 2023, חשבון בפורום האקרים מכר נתונים שנאספו מ-2.6 מיליון משתמשי דולינגו תמורת 1,500 דולר, והפורום נסגר מאז.

נתונים אלה כוללים פרטי התחברות, שמות אמיתיים ומידע שאינו פומבי, כולל כתובות דוא"ל ומידע פנימי הקשור לשירות של Duolingo. בעוד שפרופילי משתמשי Duolingo מציגים בפומבי שמות אמיתיים ושמות התחברות, כתובות הדוא"ל אנונימיות.

פרסומת מוכרת נתוני משתמשי דולינגו של 2.6 מיליון דולר תמורת 1,500 דולר

דולינגו אישרה ל- TheRecord כי הנתונים שנאספו ונמכרו נלקחו מרשומות ציבוריות, וכי השירות בודק האם לנקוט באמצעי זהירות נוספים. עם זאת, דולינגו לא ציינה כי כתובות דוא"ל מופיעות גם בנתונים.

נתונים מ-2.6 מיליון משתמשים פורסמו אתמול בגרסה חדשה של פורום ההאקרים תמורת 2.13 דולר בלבד. הנתונים נאספו באמצעות ממשק תכנות יישומים (API) המשותף לציבור מאז מרץ 2023.

ממשק ה-API של Duolingo מאפשר לכל אחד להגיש בקשה לאחזור פרטי הפרופיל הציבורי של משתמש. עם זאת, ניתן גם לספק כתובת דוא"ל לממשק ה-API ולאשר האם כתובת זו משויכת לחשבון Duolingo.

BleepingComputer מסרה כי ה-API נותר זמין לציבור גם לאחר שדיווח על שימוש לרעה בו ל-Duolingo בינואר.

ייתכן שההאקר הזין מיליוני כתובות דוא"ל - שנחשפו ככל הנראה בדליפות נתונים קודמות - לתוך ממשק ה-API כדי לראות אם הן שייכות לחשבונות Duolingo. לאחר מכן נעשה שימוש בכתובות דוא"ל אלו ליצירת מערך נתונים המכיל מידע ציבורי ולא ציבורי.

האקר העלה מחדש נתונים של 2.6 מיליון משתמשי דולינגו במחיר זול מאוד

חברות נוטות להשליך נתונים שנאספו, מכיוון שרובם כבר ציבוריים. עם זאת, כאשר נתונים ציבוריים מעורבבים עם נתונים פרטיים כמו מספרי טלפון וכתובות דוא"ל, הדבר הופך את המידע שנחשף למסוכן יותר ועלול להפר את חוקי הגנת המידע.

בשנת 2021, פייסבוק סבלה מדליפת נתונים מסיבית לאחר ש-API שלה "הוסף חבר" נוצל לרעה כדי לקשר מספרי טלפון לחשבונות פייסבוק של 533 מיליון משתמשים. הוועדה האירית להגנת מידע (DPC) קנסה את פייסבוק בסכום של 265 מיליון אירו (275.5 מיליון דולר) בגין גרימת הדליפה. באג שנוצר לאחרונה ב-API של טוויטר שימש לגריפת נתונים ציבוריים וכתובות דוא"ל עבור מיליוני משתמשים, מה שהוביל לחקירה על ידי ה-DPC. דולינגו טרם הסבירה מדוע השאירה את ה-API פתוח לכולם לאחר שהתקבלו דיווחים על שימוש לרעה.

קישור למקור: https://thanhnien.vn/du-lieu-26-trieu-nguoi-dung-duolingo-bi-phat-tan-cong-khai-185230824000226228.htm