Утечка данных Duolingo

Подтверждённые типы данных включают адреса электронной почты, имена, имена пользователей, языки, которыми владеют или которые изучают пользователи, а также некоторые сведения о прогрессе в обучении. Сочетание адреса электронной почты, имени пользователя и имени позволяет связать профили одного человека на разных платформах. Языковые предпочтения могут помочь злоумышленнику понять, на каком языке отправить сообщение и с какой учебной целью его связать. Такие поля, как прогресс в обучении или набранные баллы, также могут усилить впечатление, что аккаунт действительно принадлежит пользователю Duolingo.

Сведения о паролях не входят в число подтверждённых полей данных в этом инциденте. Поэтому у пользователя не должно создаваться впечатление, что его пароль утёк. Основной риск связан не столько с непосредственной компрометацией аккаунта, сколько с сопоставлением адреса электронной почты с профилем Duolingo и использованием этих сведений в адресных сообщениях. Например, более убедительными могут стать сообщения о языковых курсах, продлении подписки, подтверждении аккаунта, потере уровня или возможном прерывании серии занятий. Указанные в сообщении имя пользователя или изучаемый язык не следует считать доказательством его подлинности.

Подтверждённая дата инцидента зафиксирована как январь 2023 года; более широкое распространение набор данных получил в августе 2023 года. Число затронутых записей указано как 2 676 696. Некоторые источники могут упоминать приблизительно 2,6 миллиона или 2,7 миллиона пользователей: это округлённые значения, относящиеся к тому же инциденту. Число в этой записи соответствует количеству уникальных записей, использованных при выполнении запроса. Поля данных ограничиваются сведениями из профилей для изучения языков и их сопоставлением с электронной почтой.

Не следует расширять рамки инцидента. В этой записи пароли, данные платёжных карт, банковских счетов и удостоверений личности, номера телефонов, физические адреса, содержимое приватных уроков и личные сообщения не относятся к подтверждённым категориям данных. Хотя некоторые поля профиля могут быть общедоступными, их массовое сопоставление с непубличными адресами электронной почты усиливает последствия для конфиденциальности. Поэтому эту запись не следует считать совершенно безобидным списком открытых профилей. Оценивать инцидент нужно исходя из риска, возникающего при объединении адресов электронной почты и данных профилей, а не из предположения о непосредственном захвате аккаунтов.

В группе наибольшего риска находятся люди, которые используют в Duolingo своё настоящее имя, узнаваемое имя пользователя или основной адрес электронной почты. Профили людей, использующих одно и то же имя пользователя в социальных сетях, на образовательных платформах или в рабочих профилях, легче связать между собой. Языковые предпочтения и прогресс в обучении могут дать представление о личных целях пользователя или его интересе к определённым странам. Хотя сами по себе эти сведения не считаются особо чувствительными, в сочетании с электронной почтой и именем они делают адресные сообщения более правдоподобными.

Более заметными могут стать учащиеся, преподаватели, люди, готовящиеся к экзаменам или изучающие язык для переезда или работы, а также те, кто использует основную электронную почту для аккаунтов на образовательных платформах. Злоумышленники могут использовать эти темы в поддельных уведомлениях об экзаменах, сертификатах, подписках, подарках, подтверждении аккаунта или серии занятий. Поскольку утечки паролей нет, риск непосредственного захвата аккаунта ограничен. Однако риск социальной инженерии, спама и сопоставления профилей реален.

Надёжный уникальный пароль для аккаунта Duolingo, полезная мера безопасности. Однако в данном случае утечка пароля не подтверждена, поэтому главное, распознавать подозрительные сообщения. Обращайте внимание на ссылки в сообщениях от имени Duolingo о подтверждении аккаунта, подписке, потере уровня, серии занятий, сертификатах или акциях. Даже если в сообщении правильно указаны ваше имя, имя пользователя или изучаемый язык, эти сведения могли быть взяты из набора данных. Если требуется какое-либо действие, откройте сервис самостоятельно по официальному адресу и выполните его там.

Проверьте, какие сведения видны в вашем профиле, чтобы уменьшить возможность связать ваше настоящее имя, публичное имя пользователя и основную электронную почту. Если основной адрес используется для слишком большого числа обучающих мероприятий, акций или аккаунтов в социальных сетях, можно предпочесть отдельные адреса электронной почты. Не передавайте пароли, платёжные данные или одноразовые коды в ответ на неожиданные письма и сообщения. Включите двухфакторную аутентификацию для почтового аккаунта и проверьте подозрительные сеансы. Отсутствие утечки паролей в этом случае не означает, что все остальные риски можно игнорировать.

В долгосрочной перспективе пользователям стоит регулярно проверять, какие поля их профилей открыты на образовательных и социальных платформах. Сочетание настоящего имени, имени пользователя, целей изучения языка, фотографии профиля и привязки к электронной почте может сделать человека легко узнаваемым. Использование отдельных адресов для разных целей вместо одного основного адреса во всех сервисах уменьшает последствия подобных инцидентов массового сбора данных. Для общей безопасности аккаунтов по-прежнему следует пользоваться менеджером паролей и двухфакторной аутентификацией.

Для операторов платформ инцидент Duolingo показывает, что даже кажущиеся общедоступными данные могут создавать риск для конфиденциальности при сопоставлении с непубличными адресами электронной почты. Необходимо ограничивать возможность злоупотребления запросами к аккаунтам, своевременно выявлять признаки массового извлечения данных и не раскрывать без необходимости связь между непубличными полями и полями профиля. Образовательным платформам не следует рассматривать учебные цели и языковые предпочтения пользователей лишь как обычные базовые сведения профиля.

Если вы видите совпадение в этой записи, ваш аккаунт может входить в число 2 676 696 записей, связанных с утечкой данных Duolingo. Совпадение не означает, что ваш пароль или платёжные данные утекли. Подтверждённые поля включают электронную почту, имя, имя пользователя, языки, которыми вы владеете или которые изучаете, и некоторые сведения о прогрессе в обучении. В первую очередь следует осторожнее относиться к сообщениям на тему Duolingo, приходящим на этот адрес электронной почты, и не переходить по ссылкам непосредственно из них.

Проверьте сведения, отображаемые в вашем профиле Duolingo, сократите упоминания основного адреса электронной почты там, где в них нет необходимости, и не отключайте дополнительную проверку входа в почтовый аккаунт. Если вы используете то же имя пользователя на других платформах, учитывайте риск сопоставления профилей. Правильный подход к утечке данных Duolingo, не преувеличивать инцидент, представляя его как утечку паролей, а снижать риски адресных сообщений и нарушения конфиденциальности, возникающие из-за сопоставления профиля и данных об обучении с вашим адресом электронной почты.