Datele a 2,6 milioane de utilizatori Duolingo au fost făcute publice

Duolingo este cel mai mare site web și aplicație de învățare a limbilor străine din lume , cu peste 74 de milioane de utilizatori lunar. Potrivit Bleeping Computer, datele personale scurse ale utilizatorilor Duolingo ar permite hackerilor să efectueze atacuri de phishing direcționate.

În ianuarie 2023, un cont de pe un forum de hackeri a vândut date colectate de la 2,6 milioane de utilizatori Duolingo pentru 1.500 de dolari, iar forumul a fost închis de atunci.

Aceste date includ acreditări de conectare, nume reale și informații nepublice, inclusiv adrese de e-mail și informații interne legate de serviciul Duolingo. În timp ce profilurile utilizatorilor Duolingo afișează public nume reale și nume de conectare, adresele de e-mail sunt anonimizate.

Dữ liệu 2,6 triệu người dùng Duolingo bị phát tán công khai - Ảnh 1. — Reclamă care vinde 2,6 milioane de date de utilizatori Duolingo pentru 1.500 de dolari

Duolingo a confirmat pentru TheRecord că datele colectate și vândute au fost preluate din înregistrări publice și că serviciul investighează dacă va lua măsuri de precauție suplimentare. Cu toate acestea, Duolingo nu a menționat că adresele de e-mail au fost listate și în date.

Datele a 2,6 milioane de utilizatori au fost publicate ieri pe o nouă versiune a forumului hackerilor, la doar 2,13 dolari. Datele au fost colectate folosind o interfață de programare a aplicațiilor (API) care a fost partajată public din martie 2023.

Această API Duolingo permite oricui să trimită o solicitare pentru informațiile profilului public al unui utilizator. Cu toate acestea, este posibilă și furnizarea unei adrese de e-mail către API și confirmarea dacă adresa respectivă este asociată cu un cont Duolingo.

BleepingComputer a declarat că API-ul a rămas disponibil publicului chiar și după ce abuzul său a fost raportat către Duolingo în ianuarie.

Probabil că hackerul a introdus în API milioane de adrese de e-mail – posibil expuse în breșe anterioare de securitate a datelor – pentru a vedea dacă aparțineau conturilor Duolingo. Aceste adrese de e-mail au fost apoi folosite pentru a crea un set de date care conține atât informații publice, cât și nepublice.

Dữ liệu 2,6 triệu người dùng Duolingo bị phát tán công khai - Ảnh 2. — Un hacker reîncarcă datele a 2,6 milioane de utilizatori Duolingo la un preț foarte mic

Companiile tind să elimine datele colectate deoarece majoritatea acestora sunt deja publice. Cu toate acestea, atunci când datele publice sunt amestecate cu date private, cum ar fi numerele de telefon și adresele de e-mail, informațiile expuse devin mai riscante și pot încălca legile privind protecția datelor.

În 2021, Facebook a suferit o încălcare masivă a securității datelor după ce API-ul său „Adăugați un prieten” a fost utilizat în mod abuziv pentru a conecta numere de telefon la conturile Facebook a 533 de milioane de utilizatori. Comisia pentru Protecția Datelor (DPC) din Irlanda a amendat Facebook cu 265 de milioane de euro (275,5 milioane de dolari) pentru cauzarea încălcării securității datelor. O eroare recentă în API-ul Twitter a fost utilizată pentru a extrage date publice și adrese de e-mail a milioane de utilizatori, ceea ce a dus la o anchetă DPC. Duolingo nu a explicat încă de ce și-a lăsat API-ul deschis tuturor după rapoartele de abuz.

Legătură sursă