2,6 millió Duolingo-felhasználó adatai szivárogtak ki nyilvánosan

A Duolingo a világ legnagyobb nyelvtanuló weboldala és alkalmazása, több mint 74 millió havi felhasználóval. A Bleeping Computer szerint a Duolingo-felhasználók kiszivárgott személyes adatai lehetővé tennék a hackerek számára, hogy célzott adathalász támadásokat hajtsanak végre.

2023 januárjában egy hackerfórumon lévő fiók 1500 dollárért adott el 2,6 millió Duolingo-felhasználótól gyűjtött adatokat, és a fórumot azóta bezárták.

Ezek az adatok magukban foglalják a bejelentkezési adatokat, a valódi neveket és a nem nyilvános információkat, beleértve az e-mail címeket és a Duolingo szolgáltatásával kapcsolatos belső információkat. Míg a Duolingo felhasználói profiljai nyilvánosan megjelenítik a valódi neveket és a bejelentkezési neveket, az e-mail címek anonimizáltak.

2,6 millió Duolingo-felhasználói adatot értékesítő hirdetés 1500 dollárért

A Duolingo megerősítette a TheRecordnak , hogy a begyűjtött és értékesített adatok nyilvános nyilvántartásokból származnak, és hogy a szolgáltatás vizsgálja, hogy további óvintézkedéseket tegyen-e. A Duolingo azonban nem említette, hogy az adatok között e-mail címek is szerepelnek.

2,6 millió felhasználó adatait tették közzé tegnap a hacker fórum új verzióján, mindössze 2,13 dollárért. Az adatokat egy alkalmazásprogramozási felület (API) segítségével gyűjtötték, amelyet 2023 márciusa óta nyilvánosan megosztanak.

Ez a Duolingo API lehetővé teszi bárki számára, hogy nyilvános profilinformációkat kérjen egy felhasználótól. Azonban az is lehetséges, hogy megadunk egy e-mail címet az API-nak, és ellenőrizzük, hogy ez a cím kapcsolódik-e egy Duolingo fiókhoz.

A BleepingComputer azt nyilatkozta, hogy az API továbbra is nyilvánosan elérhető maradt, miután januárban jelentették a Duolingónak a visszaéléseit.

Valószínűleg a hacker több millió – esetleg korábbi adatvédelmi incidensek során nyilvánosságra került – e-mail címet adott be az API-ba, hogy kiderítse, azok Duolingo-fiókokhoz tartoznak-e. Ezeket az e-mail címeket ezután felhasználták egy nyilvános és nem nyilvános információkat is tartalmazó adathalmaz létrehozására.

Egy hacker nagyon olcsón töltötte fel újra 2,6 millió Duolingo-felhasználó adatait.

A vállalatok hajlamosak elvetni a gyűjtött adatokat, mivel azok nagy része már nyilvános. Amikor azonban a nyilvános adatokat összekeverik a privát adatokkal, például telefonszámokkal és e-mail címekkel, az kockázatosabbá teszi a kiszivárgott információkat, és potenciálisan sérti az adatvédelmi törvényeket.

2021-ben a Facebook hatalmas adatvédelmi incidenst szenvedett el, miután az „Add Friend” API-ját visszaélésszerűen használták fel, hogy telefonszámokat kapcsoljanak össze 533 millió felhasználó Facebook-fiókjával. Az ír adatvédelmi bizottság (DPC) 265 millió eurós (275,5 millió dolláros) bírságot szabott ki a Facebookra az adatvédelmi incidens elkövetése miatt. A Twitter API-jában nemrégiben felbukkant hibát arra használták, hogy több millió felhasználó nyilvános adatait és e-mail címét kaparják meg, ami a DPC vizsgálatához vezetett. A Duolingo egyelőre nem magyarázta meg, miért hagyta nyitva API-ját mindenki számára a visszaélési jelentések után.

Forráslink: https://thanhnien.vn/du-lieu-26-trieu-nguoi-dung-duolingo-bi-phat-tan-cong-khai-185230824000226228.htm