Dados de 2,6 milhões de usuários do Duolingo vazaram publicamente

O Duolingo é o maior site e aplicativo de aprendizagem de idiomas do mundo , com mais de 74 milhões de usuários mensais. De acordo com o Bleeping Computer, o vazamento de dados pessoais de usuários do Duolingo permitiria que hackers lançassem ataques de phishing direcionados.

Em janeiro de 2023, uma conta em um fórum de hackers vendeu dados coletados de 2,6 milhões de usuários do Duolingo por US$ 1.500, e o fórum foi encerrado desde então.

Esses dados incluem credenciais de login, nomes reais e informações não públicas, incluindo endereços de e-mail e informações internas relacionadas ao serviço do Duolingo. Embora os perfis de usuário do Duolingo exibam publicamente nomes reais e nomes de login, os endereços de e-mail são anonimizados.

Anúncio vende 2,6 milhões de dados de usuários do Duolingo por US$ 1.500

O Duolingo confirmou ao TheRecord que os dados coletados e vendidos foram retirados de registros públicos e que o serviço está investigando se tomará precauções adicionais. No entanto, o Duolingo não mencionou que endereços de e-mail também estavam listados nos dados.

Dados de 2,6 milhões de usuários foram divulgados ontem em uma nova versão do fórum de hackers por apenas US$ 2,13. Os dados foram coletados por meio de uma interface de programação de aplicativos (API) compartilhada publicamente desde março de 2023.

Esta API do Duolingo permite que qualquer pessoa envie uma solicitação para recuperar informações do perfil público de um usuário. No entanto, também é possível fornecer um endereço de e-mail à API e confirmar se esse endereço está associado a uma conta do Duolingo.

O BleepingComputer disse que a API permaneceu disponível publicamente mesmo depois que seu abuso foi relatado ao Duolingo em janeiro.

É possível que o hacker tenha inserido milhões de endereços de e-mail — provavelmente expostos em violações de dados anteriores — na API para verificar se pertenciam a contas do Duolingo. Esses endereços de e-mail foram então usados ​​para criar um conjunto de dados contendo informações públicas e privadas.

Hacker reenvia dados de 2,6 milhões de usuários do Duolingo por um preço muito baixo

As empresas tendem a descartar os dados coletados, visto que a maioria deles já é pública. No entanto, quando dados públicos são misturados com dados privados, como números de telefone e endereços de e-mail, as informações expostas tornam-se mais arriscadas e potencialmente violam as leis de proteção de dados.

Em 2021, o Facebook sofreu uma enorme violação de dados após sua API "Adicionar Amigo" ter sido usada indevidamente para vincular números de telefone às contas do Facebook de 533 milhões de usuários. A Comissão Irlandesa de Proteção de Dados (DPC) multou o Facebook em € 265 milhões (US$ 275,5 milhões) pela violação. Um bug recente na API do Twitter foi usado para coletar dados públicos e endereços de e-mail de milhões de usuários, levando a uma investigação pela DPC. O Duolingo ainda não explicou por que deixou a API aberta a todos após o recebimento de denúncias de abuso.

Link da fonte: https://thanhnien.vn/du-lieu-26-trieu-nguoi-dung-duolingo-bi-phat-tan-cong-khai-185230824000226228.htm