Data 2.6 juta pengguna Duolingo bocor secara terbuka

Duolingo ialah tapak web dan aplikasi pembelajaran bahasa terbesar di dunia dengan lebih 74 juta pengguna bulanan. Menurut Bleeping Computer, data peribadi pengguna Duolingo yang bocor akan membolehkan penggodam melakukan serangan pancingan data yang disasarkan.

Pada Januari 2023, akaun di forum penggodam menjual data yang dikumpul daripada 2.6 juta pengguna Duolingo dengan harga $1,500 dan forum itu telah ditutup.

Data ini termasuk bukti kelayakan log masuk, nama sebenar dan maklumat bukan awam, termasuk alamat e-mel dan maklumat dalaman yang berkaitan dengan perkhidmatan Duolingo. Walaupun profil pengguna Duolingo memaparkan nama sebenar dan nama log masuk secara terbuka, alamat e-mel tidak dikenali.

Dữ liệu 2,6 triệu người dùng Duolingo bị phát tán công khai - Ảnh 1. — Iklan yang menjual 2.6 juta data pengguna Duolingo dengan harga $1,500

Duolingo mengesahkan kepada TheRecord bahawa data yang dikumpul dan dijual telah diambil daripada rekod awam dan perkhidmatan itu sedang menyiasat sama ada akan mengambil langkah berjaga-jaga selanjutnya. Walau bagaimanapun, Duolingo tidak menyebut bahawa alamat e-mel turut disenaraikan dalam data.

Data daripada 2.6 juta pengguna telah dikeluarkan semalam pada versi baharu forum penggodam untuk hanya $2.13. Data tersebut dikumpulkan menggunakan antara muka pengaturcaraan aplikasi (API) yang telah dikongsi secara terbuka sejak Mac 2023.

API Duolingo ini membenarkan sesiapa sahaja menyerahkan permintaan untuk maklumat profil awam pengguna. Walau bagaimanapun, anda juga boleh memberikan alamat e-mel kepada API dan mengesahkan sama ada alamat tersebut dikaitkan dengan akaun Duolingo.

BleepingComputer berkata API kekal tersedia secara terbuka walaupun selepas penyalahgunaannya dilaporkan kepada Duolingo pada bulan Januari.

Kemungkinan penggodam itu memberi berjuta-juta alamat e-mel—mungkin terdedah dalam pelanggaran data sebelumnya—ke dalam API untuk melihat sama ada ia tergolong dalam akaun Duolingo. Alamat e-mel ini kemudiannya digunakan untuk membuat set data yang mengandungi maklumat awam dan bukan awam.

Dữ liệu 2,6 triệu người dùng Duolingo bị phát tán công khai - Ảnh 2. — Penggodam memuat naik semula data 2.6 juta pengguna Duolingo dengan harga yang sangat murah

Syarikat cenderung untuk membuang data yang dikumpul kerana kebanyakannya sudah terbuka. Walau bagaimanapun, apabila data awam dicampur dengan data peribadi seperti nombor telefon dan alamat e-mel, ia menjadikan maklumat yang terdedah lebih berisiko dan berpotensi melanggar undang-undang perlindungan data.

Pada tahun 2021, Facebook mengalami pelanggaran data besar-besaran selepas API "Tambah Rakan" disalahgunakan untuk memautkan nombor telefon ke akaun Facebook yang mempunyai 533 juta pengguna. Suruhanjaya Perlindungan Data (DPC) Ireland mendenda Facebook €265 juta ($275.5 juta) kerana menyebabkan pelanggaran data. Pepijat baru-baru ini dalam API Twitter telah digunakan untuk mengikis data awam dan alamat e-mel berjuta-juta pengguna, yang membawa kepada penyiasatan DPC. Duolingo masih belum menjelaskan mengapa ia membiarkan APInya terbuka kepada semua orang selepas laporan penyalahgunaan.

Pautan sumber