Data daripada 2.6 juta pengguna Duolingo telah dibocorkan secara terbuka.

Duolingo ialah laman web dan aplikasi pembelajaran bahasa terbesar di dunia , dengan lebih 74 juta pengguna bulanan. Menurut Bleeping Computer, kebocoran data peribadi pengguna Duolingo boleh membolehkan penggodam menjalankan serangan pancingan data yang disasarkan.

Pada Januari 2023, sebuah akaun di forum penggodam telah menjual data yang dikumpul daripada 2.6 juta pengguna Duolingo dengan harga $1,500; forum tersebut telah menghentikan operasinya.

Data ini merangkumi maklumat log masuk, nama sebenar, serta maklumat bukan awam, termasuk alamat e-mel dan maklumat dalaman yang berkaitan dengan perkhidmatan Duolingo. Walaupun profil pengguna Duolingo memaparkan nama sebenar dan nama log masuk secara terbuka, alamat e-mel dirahsiakan.

Iklan itu menawarkan untuk menjual 2.6 juta rekod data pengguna Duolingo dengan harga $1,500.

Duolingo mengesahkan kepada TheRecord bahawa data yang dikumpul dan dijual telah diambil daripada profil awam, dan perkhidmatan tersebut sedang menyiasat sama ada ia perlu mengambil langkah pencegahan. Walau bagaimanapun, Duolingo tidak menyebut tentang fakta bahawa alamat e-mel juga disenaraikan dalam data tersebut.

Data daripada 2.6 juta pengguna telah dikeluarkan semalam pada versi baharu forum penggodam dengan harga hanya $2.13. Data ini dikumpulkan menggunakan antara muka pengaturcaraan aplikasi (API) yang dikongsi secara umum sejak Mac 2023.

API Duolingo ini membolehkan orang ramai menghantar akses kepada maklumat profil awam pengguna. Walau bagaimanapun, alamat e-mel kepada API juga boleh diberikan dan disahkan sama ada alamat tersebut dipautkan ke akaun Duolingo.

BleepingComputer menyatakan bahawa API ini kekal tersedia untuk umum walaupun selepas penyalahgunaannya dilaporkan kepada Duolingo pada bulan Januari.

Boleh difikirkan bahawa penggodam memasukkan berjuta-juta alamat e-mel—kemungkinan bocor dalam pencerobohan data sebelum ini—ke dalam API untuk melihat sama ada ia milik akaun Duolingo. Alamat e-mel ini kemudiannya digunakan untuk mencipta set data yang mengandungi maklumat awam dan bukan awam.

Penggodam memuat naik semula data 2.6 juta pengguna Duolingo dengan harga yang sangat rendah.

Syarikat cenderung untuk membuang data yang dikumpul, kerana kebanyakannya sudah tersedia untuk umum. Walau bagaimanapun, apabila data yang tersedia untuk umum dicampurkan dengan data peribadi seperti nombor telefon dan alamat e-mel, ia menjadikan kebocoran maklumat lebih berisiko dan berpotensi melanggar undang-undang perlindungan data.

Pada tahun 2021, Facebook mengalami kebocoran data besar-besaran selepas API "Tambah Rakan" disalahgunakan untuk memautkan nombor telefon ke akaun Facebook 533 juta pengguna. Suruhanjaya Perlindungan Data Ireland (DPC) telah mendenda Facebook €265 juta ($275.5 juta) kerana menyebabkan kebocoran data ini. Baru-baru ini, kecacatan dalam API Twitter telah digunakan untuk mengakses data dan alamat e-mel yang tersedia secara umum daripada berjuta-juta pengguna, yang membawa kepada siasatan DPC. Duolingo masih belum menjelaskan mengapa ia membiarkan API ini boleh diakses secara umum walaupun terdapat laporan penyalahgunaan.

Pautan sumber: https://thanhnien.vn/du-lieu-26-trieu-nguoi-dung-duolingo-bi-phat-tan-cong-khai-185230824000226228.htm