خرق بيانات Duolingo

تشمل أنواع البيانات التي جرى التحقق منها عناوين البريد الإلكتروني والأسماء وأسماء المستخدمين واللغات التي يتحدثون بها أو يتعلمونها، وبعض المعلومات المتعلقة بالتقدم في التعلم. وعند جمع عنوان البريد الإلكتروني واسم المستخدم والاسم معًا، يصبح من الممكن الربط بين الملفات الشخصية للشخص على منصات مختلفة. وقد تساعد تفضيلات اللغة المهاجم على تحديد اللغة التي يرسل بها الرسالة وهدف التعلم الذي يربط الرسالة به. كما يمكن لحقول مثل التقدم في التعلم أو النقاط أن تعزز الانطباع بأن الحساب يخص بالفعل أحد مستخدمي Duolingo.

في هذه الحادثة، ليست معلومات كلمات المرور من حقول البيانات التي جرى التحقق منها. لذلك، ينبغي ألّا يُعطى المستخدم انطباعًا بأن كلمة مروره قد تسرّبت. ويتمحور الخطر حول ربط عنوان البريد الإلكتروني بملف Duolingo الشخصي واستخدام هذه المعلومات في رسائل موجّهة، أكثر من تمحوره حول اختراق الحساب مباشرة. فعلى سبيل المثال، قد تصبح الرسائل المتعلقة بدورات اللغة أو تجديد العضوية أو التحقق من الحساب أو التحذير من فقدان المستوى أو انقطاع سلسلة التعلم المتواصل أكثر إقناعًا. وينبغي للمستخدمين ألّا يعدّوا ورود اسم المستخدم أو اللغة التي يتعلمونها في رسالة دليلًا على شرعيتها.

يُسجَّل تاريخ الحادثة الذي جرى التحقق منه على أنه يناير 2023؛ وقد انتشرت مجموعة البيانات على نطاق أوسع في أغسطس 2023. ويظل عدد السجلات المتأثرة المعتمد هو 2,676,696. قد تذكر بعض المصادر نحو 2.6 مليون أو 2.7 مليون مستخدم؛ وهذه تعبيرات مقربة عن الحادثة نفسها. أما العدد المستخدم في هذا السجل فهو عدد السجلات الفريدة المستخدمة في الاستعلام. وتقتصر حقول البيانات على الملف الشخصي لتعلّم اللغات وربطه بالبريد الإلكتروني.

ينبغي عدم توسيع نطاق الحادثة. ففي هذا السجل، لم يجرِ التحقق من وجود بيانات كلمات المرور أو بطاقات الدفع أو الحسابات المصرفية أو وثائق الهوية الرسمية أو أرقام الهواتف أو العناوين الفعلية أو محتوى الدروس الخاصة أو الرسائل الخاصة ضمن فئات البيانات. ورغم أن بعض حقول الملفات الشخصية قد تكون عامة، فإن ربطها بعناوين بريد إلكتروني خاصة على نطاق جماعي يزيد أثر الحادثة على الخصوصية. لذلك، ينبغي ألّا يُنظر إلى السجل على أنه أمر عديم الأهمية تمامًا، كقائمة ملفات شخصية عامة. ويجب أن يستند التقييم الصحيح إلى الخطر الناشئ عن الجمع بين بيانات البريد الإلكتروني والملف الشخصي، لا إلى السيطرة المباشرة على الحساب.

الفئة الأكثر عرضة للخطر هي الأشخاص الذين يستخدمون اسمهم الحقيقي أو اسم مستخدم يسهل التعرف عليهم من خلاله أو عنوان بريدهم الإلكتروني الرئيسي على Duolingo. ويسهل الربط بين ملفات الأشخاص الذين يستخدمون اسم المستخدم نفسه على الشبكات الاجتماعية أو المنصات التعليمية أو ملفات العمل. وقد تكشف تفضيلات اللغة والتقدم في التعلم عن مؤشرات بشأن الأهداف الشخصية للمستخدم أو اهتماماته ببلدان معينة. ورغم أن هذه المعلومات وحدها لا تُعد بيانات شديدة الحساسية، فإن جمعها مع البريد الإلكتروني والاسم يعزز الانطباع بأن الرسائل الموجّهة دقيقة.

قد يصبح الطلاب والمعلمون والمستعدون للامتحانات ومن يتعلمون لغة لأغراض الهجرة أو العمل ومن يستخدمون بريدهم الإلكتروني الرئيسي للحسابات التعليمية أكثر قابلية للتعرف عليهم. ويمكن للمهاجمين استغلال هذه الاهتمامات في تنبيهات مزيفة تتعلق بالامتحانات أو الشهادات أو الاشتراكات أو الهدايا أو التحقق من الحساب أو سلاسل التعلم. وبما أنه لا يوجد تسرّب لكلمات المرور، فإن خطر السيطرة المباشرة على الحساب محدود؛ لكن خطر الهندسة الاجتماعية والرسائل المزعجة وربط الملفات الشخصية قائم بالفعل.

استخدام كلمة مرور قوية وفريدة لحسابك على Duolingo خطوة أمنية جيدة؛ لكن بما أن تسرّب كلمة المرور لم يُؤكَّد في هذه الحالة، فإن الأولوية الرئيسية هي تمييز الرسائل المشبوهة. ينبغي الانتباه إلى الروابط في الرسائل التي تصل باسم Duolingo وتتعلق بالتحقق من الحساب أو العضوية أو فقدان المستوى أو سلسلة التعلم المتواصل أو الشهادات أو الحملات. وحتى إذا ورد اسمك أو اسم المستخدم أو اللغة التي تتعلمها بصورة صحيحة في الرسالة، فقد تكون هذه المعلومات مأخوذة من مجموعة بيانات. وإذا كان هناك إجراء مطلوب، فينبغي تنفيذه بالدخول إلى الخدمة مباشرة عبر عنوانها الرسمي.

ينبغي مراجعة المعلومات الظاهرة في ملفك الشخصي للحد من الربط بين اسمك الحقيقي واسم المستخدم العلني وبريدك الإلكتروني الرئيسي. وإذا كان عنوان بريدك الإلكتروني الرئيسي مستخدمًا في عدد كبير جدًا من الدورات التدريبية أو الحملات أو الحسابات الاجتماعية، فقد يكون من الأفضل استخدام عناوين بريد إلكتروني منفصلة. وينبغي عدم مشاركة كلمات المرور أو معلومات الدفع أو الرموز التي تُستخدم لمرة واحدة عبر رسائل البريد الإلكتروني والرسائل غير المتوقعة. كما ينبغي تفعيل المصادقة الثنائية على حساب البريد الإلكتروني والتحقق من جلسات الدخول المشبوهة. فعدم وجود تسرّب لكلمات المرور في هذه الحالة لا يعني تجاهل جميع المخاطر.

على المدى الطويل، ينبغي للمستخدمين التحقق بانتظام من حقول ملفاتهم الشخصية المتاحة للعامة على المنصات التعليمية والاجتماعية. فعندما يجتمع الاسم الحقيقي واسم المستخدم وأهداف تعلم اللغة وصورة الملف الشخصي وارتباطه بالبريد الإلكتروني، قد يسهل التعرف على الشخص. وبدلًا من استخدام عنوان البريد الإلكتروني الرئيسي لكل خدمة، فإن تخصيص عناوين منفصلة لأغراض مختلفة يقلل أثر حوادث جمع البيانات الجماعي من هذا النوع. ويظل استخدام مدير كلمات المرور والمصادقة الثنائية ضروريًا لتعزيز أمان الحساب عمومًا.

من منظور الجهات المشغّلة للمنصات، توضح حادثة Duolingo أن حتى البيانات التي تبدو عامة قد تشكل خطرًا على الخصوصية عند ربطها بعناوين بريد إلكتروني خاصة. وينبغي فرض قيود على عمليات الاستعلام عن الحسابات لمنع إساءة استخدامها، والكشف مبكرًا عن أنماط استخراج البيانات بكميات كبيرة، وعدم كشف الصلة بين الحقول الخاصة وحقول الملفات الشخصية دون ضرورة. كما ينبغي للمنصات التعليمية ألّا تتعامل مع حقول مثل أهداف المستخدمين التعليمية وتفضيلاتهم اللغوية على أنها مجرد معلومات أساسية للملف الشخصي.

إذا ظهرت لك نتيجة مطابقة في هذا السجل، فقد يكون حسابك ضمن السجلات البالغ عددها 2,676,696 والمرتبطة بتسرّب بيانات Duolingo. ولا تعني المطابقة أن كلمة مرورك أو معلومات الدفع الخاصة بك قد تسرّبت. وتشمل الحقول التي جرى التحقق منها البريد الإلكتروني والاسم واسم المستخدم واللغات التي تتحدث بها أو تتعلمها، وبعض المعلومات عن التقدم في التعلم. وتتمثل الخطوة الأولى في توخي مزيد من الحذر تجاه الرسائل المتعلقة بـ Duolingo التي تُرسل إلى عنوان البريد الإلكتروني هذا، وعدم النقر على الروابط مباشرة.

راجع المعلومات المعروضة في ملفك الشخصي على Duolingo، وقلّل ظهور عنوان بريدك الإلكتروني الرئيسي في المواضع غير الضرورية، وأبقِ التحقق الإضافي مفعّلًا على حساب بريدك الإلكتروني. وإذا كنت تستخدم اسم المستخدم نفسه على منصات أخرى، فضع في الحسبان خطر الربط بين ملفاتك الشخصية. والنهج الصحيح للتعامل مع تسرّب بيانات Duolingo ليس تضخيم الحادثة بوصفها تسرّبًا لكلمات المرور، بل تقليل مخاطر الرسائل الموجّهة والمخاطر على الخصوصية الناشئة عن ربط بيانات ملفك الشخصي وتعلّمك بعنوان بريدك الإلكتروني.