Dados de 2,6 milhões de usuários do Duolingo foram vazados publicamente.

O Duolingo é o maior site e aplicativo de aprendizado de idiomas do mundo , com mais de 74 milhões de usuários mensais. De acordo com o Bleeping Computer, o vazamento de dados pessoais dos usuários do Duolingo pode permitir que hackers realizem ataques de phishing direcionados.

Em janeiro de 2023, uma conta em um fórum de hackers vendeu dados coletados de 2,6 milhões de usuários do Duolingo por US$ 1.500; o fórum encerrou suas atividades desde então.

Esses dados incluem informações de login, nomes reais, bem como informações não públicas, como endereços de e-mail e informações internas relacionadas ao serviço do Duolingo. Embora os perfis de usuário do Duolingo exibam publicamente os nomes reais e os nomes de login, os endereços de e-mail são mantidos em sigilo.

Dữ liệu 2,6 triệu người dùng Duolingo bị phát tán công khai - Ảnh 1. — O anúncio oferecia a venda de 2,6 milhões de registros de dados de usuários do Duolingo por US$ 1.500.

O Duolingo confirmou ao TheRecord que os dados coletados e vendidos foram obtidos de perfis públicos e que o serviço está investigando se deve tomar medidas preventivas. No entanto, o Duolingo não mencionou o fato de que endereços de e-mail também estavam presentes nos dados.

Dados de 2,6 milhões de usuários foram disponibilizados ontem em uma nova versão do fórum de hackers por apenas US$ 2,13. Esses dados foram coletados usando uma interface de programação de aplicativos (API) compartilhada publicamente desde março de 2023.

Esta API do Duolingo permite que as pessoas solicitem acesso às informações públicas do perfil de outros usuários. No entanto, também é possível fornecer um endereço de e-mail à API e verificar se esse endereço está vinculado a uma conta do Duolingo.

O BleepingComputer afirmou que essa API permaneceu disponível publicamente mesmo após o uso indevido ter sido relatado ao Duolingo em janeiro.

É possível que o hacker tenha inserido milhões de endereços de e-mail — possivelmente vazados em violações de dados anteriores — na API para verificar se pertenciam a contas do Duolingo. Esses endereços de e-mail foram então usados para criar um conjunto de dados contendo informações públicas e privadas.

Dữ liệu 2,6 triệu người dùng Duolingo bị phát tán công khai - Ảnh 2. — Hackers reenviaram os dados de 2,6 milhões de usuários do Duolingo por um preço muito baixo.

As empresas tendem a descartar os dados coletados, pois a maior parte deles já está disponível publicamente. No entanto, quando dados públicos são misturados com dados privados, como números de telefone e endereços de e-mail, o vazamento de informações torna-se mais arriscado e pode violar as leis de proteção de dados.

Em 2021, o Facebook sofreu um enorme vazamento de dados após sua API "Adicionar Amigo" ter sido usada indevidamente para vincular números de telefone às contas do Facebook de 533 milhões de usuários. A Comissão Irlandesa de Proteção de Dados (DPC) multou o Facebook em € 265 milhões (US$ 275,5 milhões) por causar esse vazamento de dados. Mais recentemente, uma falha na API do Twitter foi usada para acessar dados e endereços de e-mail publicamente disponíveis de milhões de usuários, levando a uma investigação da DPC. O Duolingo ainda não explicou por que deixou essa API publicamente acessível, apesar dos relatos de uso indevido.

Link da fonte