Vazamento de dados de Duolingo

Os tipos de dados verificados incluem endereços de e-mail, nomes, nomes de usuário, idiomas falados ou estudados e algumas informações relacionadas ao progresso no aprendizado. Quando o endereço de e-mail, o nome de usuário e o nome estão juntos, é possível vincular os perfis de uma pessoa em diferentes plataformas. As preferências de idioma podem ajudar um invasor a determinar em qual idioma enviar uma mensagem e a qual objetivo de aprendizado associá-la. Campos como progresso no aprendizado ou pontuações também podem reforçar a impressão de que a conta realmente pertence a um usuário do Duolingo.

Neste incidente, informações de senha não são um campo de dados verificado. Portanto, não se deve dar a você a impressão de que sua senha foi vazada. O risco está menos no comprometimento direto da conta e mais na associação do endereço de e-mail ao perfil do Duolingo e no uso dessas informações em mensagens direcionadas. Por exemplo, mensagens sobre cursos de idiomas, renovação de assinatura, verificação de conta, perda de nível ou avisos sobre a sequência de aprendizado podem se tornar mais convincentes. Você não deve considerar a presença do seu nome de usuário ou do idioma que está aprendendo em uma mensagem como prova de legitimidade.

A data verificada do incidente é registrada como janeiro de 2023; o conjunto de dados circulou de forma mais ampla em agosto de 2023. O número de registros afetados é mantido em 2.676.696. Algumas fontes podem mencionar aproximadamente 2,6 milhões ou 2,7 milhões de usuários; essas expressões são representações arredondadas do mesmo incidente. O número usado neste registro corresponde à contagem de registros únicos utilizados na consulta. Os campos de dados se limitam ao perfil de aprendizado de idiomas e à associação com o e-mail.

O escopo não deve ser ampliado. Neste registro, senhas, cartões de pagamento, contas bancárias, documentos oficiais de identificação, números de telefone, endereços físicos, conteúdo privado de aulas ou mensagens privadas não são categorias de dados verificadas. Embora alguns campos do perfil possam ser públicos, sua associação em massa a um endereço de e-mail privado aumenta o impacto sobre a privacidade. Portanto, o registro não deve ser tratado como algo totalmente trivial, como uma lista de perfis públicos. A avaliação correta deve se basear no risco decorrente da combinação de dados de e-mail e perfil, e não da tomada direta de controle da conta.

O grupo de maior risco é formado por pessoas que usam seu nome real, um nome de usuário reconhecível ou seu endereço de e-mail principal no Duolingo. É mais fácil vincular perfis de pessoas que usam o mesmo nome de usuário em redes sociais, plataformas educacionais ou perfis profissionais. A preferência de idioma e o progresso no aprendizado podem fornecer pistas sobre os objetivos pessoais de um usuário ou seu interesse por determinados países. Embora essas informações, isoladamente, não sejam consideradas dados altamente sensíveis, quando combinadas com e-mail e nome, elas aumentam a impressão de que as mensagens direcionadas são precisas.

Estudantes, professores, pessoas que se preparam para provas, pessoas que aprendem um idioma para migrar ou trabalhar e quem usa seu e-mail principal em contas de serviços educacionais podem ficar mais expostos. Invasores podem explorar esses interesses com alertas falsos sobre provas, certificados, assinaturas, presentes, verificação de conta ou sequências de aprendizado. Como não há vazamento de senhas, o risco de tomada direta de controle da conta é limitado; no entanto, o risco de engenharia social, spam e associação de perfis é real.

Usar uma senha forte e exclusiva na sua conta do Duolingo é uma boa medida de segurança; no entanto, neste caso, como não foi confirmado que a senha tenha sido vazada, a principal prioridade é identificar mensagens suspeitas. Preste atenção aos links em mensagens de verificação de conta, assinatura, perda de nível, sequência de aprendizado, certificado ou campanha enviadas em nome do Duolingo. Mesmo que seu nome, nome de usuário ou o idioma que você está aprendendo estejam corretos na mensagem, essas informações podem ter sido obtidas de um conjunto de dados. Se alguma ação for necessária, acesse o serviço diretamente pelo endereço oficial para realizá-la.

Revise as áreas visíveis do seu perfil para reduzir a associação entre seu nome real, seu nome de usuário público e seu e-mail principal. Se você usa seu endereço de e-mail principal em muitos cursos, campanhas ou contas de redes sociais, considere usar endereços de e-mail separados. Não compartilhe senhas, informações de pagamento ou códigos de uso único em e-mails e mensagens inesperados. Ative a autenticação de dois fatores na sua conta de e-mail e verifique se há sessões suspeitas. Neste caso, a ausência de vazamento de senhas não significa que todos os riscos devam ser ignorados.

No longo prazo, você deve verificar regularmente quais campos do seu perfil são públicos em plataformas educacionais e sociais. Quando nome real, nome de usuário, objetivos de aprendizado, foto de perfil e vínculo com o e-mail aparecem juntos, uma pessoa pode se tornar facilmente reconhecível. Em vez de usar o endereço de e-mail principal em todos os serviços, destinar endereços separados a diferentes finalidades reduz o impacto desse tipo de coleta de dados em massa. O uso de um gerenciador de senhas e da autenticação de dois fatores continua sendo importante para a segurança geral da conta.

Para os operadores de plataformas, o incidente do Duolingo mostra que até dados aparentemente públicos podem representar um risco à privacidade quando associados a endereços de e-mail privados. Os processos de consulta de contas devem ter restrições para evitar abusos, comportamentos de extração de dados em massa devem ser detectados precocemente e a conexão entre campos privados e campos de perfil não deve ser exposta sem necessidade. Plataformas educacionais não devem tratar campos como objetivos de aprendizado e preferências de idioma dos usuários como meras informações básicas de perfil.

Se você encontrar uma correspondência neste registro, sua conta pode estar entre os 2.676.696 registros associados ao vazamento de dados do Duolingo. Uma correspondência não significa que sua senha ou suas informações de pagamento tenham sido vazadas. Os campos verificados incluem e-mail, nome, nome de usuário, idiomas falados ou estudados e algumas informações sobre o progresso no aprendizado. O primeiro passo é ter mais cautela com mensagens relacionadas ao Duolingo enviadas a esse endereço de e-mail e não clicar diretamente nos links.

Verifique as informações exibidas no seu perfil do Duolingo, reduza ao mínimo a exposição do seu endereço de e-mail principal em locais desnecessários e mantenha a verificação adicional ativada na sua conta de e-mail. Se você usa o mesmo nome de usuário em outras plataformas, considere o risco de associação de perfis. A abordagem correta diante de um vazamento de dados do Duolingo não é exagerar o incidente tratando-o como um vazamento de senhas, mas reduzir os riscos de mensagens direcionadas e de perda de privacidade decorrentes da associação do seu perfil e dos seus dados de aprendizado ao seu endereço de e-mail.