Fuite de données chez Duolingo

Les types de données dont la présence a été vérifiée comprennent les adresses e-mail, les noms, les noms d’utilisateur, les langues parlées ou apprises et certaines informations relatives à la progression dans l’apprentissage. Lorsque l’adresse e-mail, le nom d’utilisateur et le nom sont réunis, il devient possible de relier les profils d’une personne sur différentes plateformes. Les préférences linguistiques peuvent aider un attaquant à déterminer dans quelle langue envoyer un message et à quel objectif d’apprentissage le rattacher. Des champs tels que la progression dans l’apprentissage ou les scores peuvent aussi renforcer l’impression que le compte appartient réellement à un utilisateur de Duolingo.

Dans cet incident, la présence de mots de passe dans les données n’a pas été vérifiée. Il ne faut donc pas laisser entendre à l’utilisateur que son mot de passe a été divulgué. Le risque tient moins à une compromission directe du compte qu’à l’association de l’adresse e-mail avec le profil Duolingo et à l’utilisation de ces informations dans des messages ciblés. Par exemple, des messages concernant un cours de langue, un renouvellement d’abonnement, une vérification de compte, une perte de niveau ou une alerte liée à une série de jours d’apprentissage peuvent devenir plus convaincants. Vous ne devez pas considérer la présence de votre nom d’utilisateur ou de la langue que vous apprenez dans un message comme une preuve de sa légitimité.

La date vérifiée retenue pour l’incident est janvier 2023; le jeu de données a circulé plus largement en août 2023. Le nombre d’enregistrements concernés est fixé à 2 676 696. Certaines sources peuvent évoquer environ 2,6 millions ou 2,7 millions d’utilisateurs; ces chiffres sont des représentations arrondies du même incident. Le nombre retenu dans cette fiche correspond au décompte des enregistrements uniques utilisés dans la requête. Les champs de données se limitent au profil d’apprentissage des langues et à son association avec une adresse e-mail.

Ce périmètre ne doit pas être élargi. Dans cette fiche, les mots de passe, les données de cartes de paiement, les comptes bancaires, les pièces d’identité officielles, les numéros de téléphone, les adresses physiques, les contenus de leçons privées et les messages privés ne font pas partie des catégories de données dont la présence a été vérifiée. Même si certains champs de profil peuvent être publics, leur association en masse avec des adresses e-mail non publiques accroît l’impact sur la vie privée. Cette fiche ne doit donc pas être considérée comme totalement anodine, à l’image d’une simple liste de profils publics. L’évaluation doit porter sur le risque lié au rapprochement des adresses e-mail et des données de profil, plutôt que sur une prise de contrôle directe des comptes.

Les personnes les plus exposées sont celles qui utilisent leur vrai nom, un nom d’utilisateur reconnaissable ou leur adresse e-mail principale sur Duolingo. Il est plus facile de relier les profils des personnes qui utilisent le même nom d’utilisateur sur les réseaux sociaux, les plateformes éducatives ou leurs profils professionnels. Les préférences linguistiques et la progression dans l’apprentissage peuvent donner des indices sur les objectifs personnels d’un utilisateur ou son intérêt pour certains pays. Bien que ces informations ne soient pas considérées à elles seules comme des données hautement sensibles, leur combinaison avec une adresse e-mail et un nom rend les messages ciblés apparemment plus crédibles.

Les élèves et étudiants, les enseignants, les personnes qui préparent des examens, celles qui apprennent une langue pour émigrer ou travailler, ainsi que celles qui utilisent leur adresse e-mail principale pour leurs comptes éducatifs peuvent devenir plus faciles à identifier. Les attaquants peuvent exploiter ces éléments pour envoyer de fausses alertes concernant des examens, des certificats, des abonnements, des cadeaux, une vérification de compte ou une série de séances d’apprentissage. En l’absence de fuite de mots de passe, le risque de prise de contrôle directe du compte est limité; en revanche, les risques d’ingénierie sociale, de spam et de rapprochement de profils sont réels.

Utiliser un mot de passe robuste et unique pour votre compte Duolingo est une bonne mesure de sécurité. Toutefois, dans ce cas, la fuite du mot de passe n’ayant pas été confirmée, la priorité est de repérer les messages suspects. Soyez particulièrement attentif aux liens présents dans les messages envoyés au nom de Duolingo et concernant une vérification de compte, un abonnement, une perte de niveau, une série de jours d’apprentissage, un certificat ou une campagne. Même si votre nom, votre nom d’utilisateur ou la langue que vous apprenez sont correctement indiqués dans le message, ces informations peuvent provenir d’un jeu de données. Si une action est nécessaire, accédez directement au service via son adresse officielle pour l’effectuer.

Examinez les informations visibles sur votre profil afin de limiter les possibilités d’associer votre vrai nom, votre nom d’utilisateur public et votre adresse e-mail principale. Si vous utilisez votre adresse e-mail principale pour trop de formations, de campagnes ou de comptes sur les réseaux sociaux, vous pouvez privilégier des adresses distinctes. Ne communiquez pas de mots de passe, d’informations de paiement ou de codes à usage unique dans des e-mails ou des messages inattendus. Activez l’authentification à deux facteurs sur votre compte de messagerie et vérifiez si des sessions suspectes sont présentes. Dans ce cas, l’absence de fuite de mots de passe ne signifie pas que tous les risques doivent être ignorés.

À long terme, vérifiez régulièrement quels champs de votre profil sont publics sur les plateformes éducatives et les réseaux sociaux. Lorsque le vrai nom, le nom d’utilisateur, les objectifs linguistiques, la photo de profil et le lien avec l’adresse e-mail sont réunis, une personne peut facilement devenir identifiable. Utiliser des adresses distinctes selon les usages, plutôt que votre adresse e-mail principale pour tous les services, réduit l’impact de ce type de collecte massive de données. L’utilisation d’un gestionnaire de mots de passe et de l’authentification à deux facteurs reste recommandée pour la sécurité globale des comptes.

Pour les opérateurs de plateformes, l’incident Duolingo montre que même des données apparemment publiques peuvent présenter un risque pour la vie privée lorsqu’elles sont associées à des adresses e-mail non publiques. Les mécanismes de recherche de comptes doivent être encadrés pour prévenir les abus, les comportements d’extraction massive de données doivent être détectés rapidement et le lien entre les champs privés et les champs de profil ne doit pas être exposé inutilement. Les plateformes éducatives ne doivent pas traiter les objectifs d’apprentissage et les préférences linguistiques des utilisateurs comme de simples informations de profil de base.

Si une correspondance apparaît dans cette fiche, votre compte peut figurer parmi les 2 676 696 enregistrements associés à la fuite de données de Duolingo. Une correspondance ne signifie pas que votre mot de passe ou vos informations de paiement ont été divulgués. Les champs dont la présence a été vérifiée comprennent l’adresse e-mail, le nom, le nom d’utilisateur, les langues parlées ou apprises et certaines informations sur la progression dans l’apprentissage. La première mesure consiste à redoubler de prudence face aux messages liés à Duolingo envoyés à cette adresse e-mail et à ne pas cliquer directement sur leurs liens.

Vérifiez les informations affichées sur votre profil Duolingo, limitez la présence de votre adresse e-mail principale là où elle n’est pas nécessaire et maintenez une vérification supplémentaire sur votre compte de messagerie. Si vous utilisez le même nom d’utilisateur sur d’autres plateformes, tenez compte du risque de rapprochement de profils. La bonne approche face à la fuite de données de Duolingo n’est pas d’exagérer l’incident en le présentant comme une fuite de mots de passe, mais de réduire les risques de messages ciblés et d’atteinte à la vie privée liés à l’association de votre profil et de vos données d’apprentissage avec votre adresse e-mail.