Dane 2,6 miliona użytkowników DuoLingo wyciekły na forum hakerskie, umożliwiając cyberprzestępcom przeprowadzanie ukierunkowanych ataków phishingowych z wykorzystaniem ujawnionych informacji.

Duolingo to jedna z największych w skali globalnej aplikacja do nauki języków, z ponad 74 milionami użytkowników miesięcznie na całym świecie.

Dane wyciekły już w styczniu 2023 r. Następnie pojawiły się na zamkniętym forum hakerskim Breached za 1500 dolarów. Teraz pojawiły się na nowej wersji forum, o wiele łatwiej dostępnej. I są o wiele tańsze – kosztują zaledwie 2,13 dolara.

Dane te obejmują połączenie publicznych loginów i prawdziwych imion, a także informacje niepubliczne, w tym adresy e-mail i informacje wewnętrzne związane z usługą Duolingo.

O nowym zagrożeniu jako pierwszy napisał serwis VX-Underground. "Dzisiaj przesłałem dla Was dane Duolingo do pobrania, dziękuję za przeczytanie i dobrą zabawę!" – tak brzmi post na forum hakerskim, pisze portal.

Dodaje, że chociaż prawdziwe imię i nazwisko oraz login są publicznie dostępne w ramach profilu użytkownika Duolingo, to niepokojący jest wyciek adresów e-mail. To może umożliwić wykorzystanie tych danych w atakach.

Serwis dodaje, że firmy zwykle traktują tego typu wycieki danych jako nieistotne, ponieważ większość danych jest już publiczna, nawet jeśli nie da się ich łatwo pobrać. Ale gdy dane publiczne są mieszane z danymi prywatnymi, takimi jak numery telefonów i adresy e-mail, ujawnione informacje stają się bardziej ryzykowne i potencjalnie naruszają przepisy o ochronie danych.

Jak sprawdzić, czy moje dane są bezpieczne?

Możliwe jest sprawdzenie, czy nasz adres mailowy znajduje się na liście tych, które przestępcy mogli skraść i wykorzystywać w niecnych celach. Na stronie Have I been pwned udostępnione narzędzie pozwalające sprawdzić, czy nasz adres znajduje się w bazach, o których wiadomo, że są publicznie dostępne.

Wystarczy wejść na witrynę i wpisać swój adres e-mail. Strona została stworzona przez Troy’a Hunta, który jest konsultantem ds. bezpieczeństwa sieci, znanym z edukacji publicznej i poruszania tematów związanych z cyberbezpieczeństwem.

Dane cały czas "ciekną"

W styczniu wyciekły dane ponad 200 milionów użytkowników Twittera. Mowa głównie o adresach e-mail, ale to może mieć dalsze negatywne konsekwencje.

Sprzedaż i upublicznianie danych ma trwać od lipca 2022 roku na różnych forach hakerskich. Pliki oferowane przez cyberprzestępców mają zawierać dane prywatne, jak i publiczne, takie jak np. numery telefonów i adresy e-mail – podaje CyberDefence24.

Dane zostały opublikowane na forum hakerskim Breached jako archiwum RAR, składające się z sześciu plików – łącznie zawierających 59 GB danych. Pliki zawierają wiersze z danymi. To użytkownik Twittera i jego dane: e-mail, nazwisko, pseudonim, data utworzenia konta, liczba obserwujących i obserwowanych.

Wyciek miał być możliwy przez lukę w zabezpieczeniach interfejsu API Twittera, która umożliwiała wprowadzenie adresów mailowych i numerów telefonów, by potwierdzić powiązanie z kontem przez użytkownika.

To nie pierwszy raz, gdy wyciekają dane użytkowników Twittera. Pod koniec lipca ubiegłego roku na jednym z forów hakerskim ktoś chciał sprzedać dane 5,4 mln użytkowników za 30 tys. dolarów, ostatecznie plik za darmo opublikowano w listopadzie.

Inna grupa cyberprzestępców przekonywała też, że posiada dane należące do 400 milionów profili kont na Twitterze.

Z gigantycznym wyciekiem danych użytkowników mieliśmy też niedawno do czynienia w Polsce. Serwis Zaufana Trzecia Strona poinformował 29 maja o niespotykanym dotąd wycieku danych. Do zdarzenia doszło na polskim forum sieci Tor, Cebulce. Pojawił się tam post z milionami linijek informacji. Opublikowano go z nieaktywnego konta, które założono dwa miesiące wcześniej.