Duolingo, jedna od najpopularnijih svetskih platformi za učenje jezika, sa desetinama miliona aktivnih korisnika svakog meseca, početkom 2023. godine našao se u centru pažnje zbog izveštaja o narušavanju bezbednosti podataka. Prema tim izveštajima, kompromitovani su podaci više od 2,5 miliona korisnika.
Ova povreda bezbednosti dovela je do curenja kako javnih, tako i privatnih informacija korisnika, uključujući njihova puna imena, adrese elektronske pošte, telefonske brojeve, kao i kurseve koje pohađaju. U nastavku donosimo najvažnije informacije o ovom incidentu.
Incident sa podacima Duolinga: Šta se dogodilo?
Javnost je za ovaj problem saznala u januaru 2023. godine, kada su podaci sa 2,6 miliona korisničkih naloga stavljeni na prodaju na jednom hakerskom forumu po ceni od 1.500 dolara.
Iako je pomenuti forum u međuvremenu zatvoren, bezbednosni istraživači iz VX-Underground su otkrili da se isti podaci sada prodaju na novoj verziji foruma za osam kredita sajta, što iznosi oko 2,13 dolara.
Haker tvrdi da je do podataka došao „struganjem“ sa otkrivenog API-ja, te je kao dokaz podelio uzorak od 1.000 naloga. Napadač je najverovatnije unosio adrese elektronske pošte iz ranijih incidenata u API kako bi proverio da li su povezane sa aktivnim Duolingo nalozima, čime je formirao bazu podataka sa javnim i nejavnim informacijama.
Izjava predstavnika Duolinga glasi da su podaci preuzeti sa javno dostupnih profila. Međutim, ovu tvrdnju je teško prihvatiti, budući da su ukradeni podaci uključivali prava imena korisnika, javne prijave, napredak u učenju jezika, kao i adrese elektronske pošte, što uobičajeno nije javno dostupno.
Koga je pogodio Duolingo hakerski napad?
Prema istraživanju kompanije Surfshark, najteže je pogođen SAD, sa skoro milion kompromitovanih naloga. Južni Sudan zauzima drugo mesto sa 175.000 pogođenih naloga, a slede Španija (123.000), Francuska (105.000) i Velika Britanija (98.000).
Svaki ugroženi nalog elektronske pošte uključivao je oko pet stavki podataka, uključujući ime korisnika, korisničko ime, profilnu sliku, jezik i državu. U nekim slučajevima, otkriveni su svi podaci o korisniku.
Šta se dalje dešava sa prikupljenim podacima?
Posrednici podataka često prikupljaju informacije sa društvenih mreža i prodaju ih trećim stranama u različite svrhe, uključujući i marketing. Međutim, sajber kriminalci mogu da koriste procurele podatke Duolingo korisnika za sprovođenje napada socijalnog inženjeringa, kao što su ciljani phishing napadi, koristeći imena žrtava i važeće adrese e-pošte.
Žrtve mogu da primaju personalizovane phishing poruke – na primer, ponude za jezičke kurseve sa popustom – zahvaljujući informacijama o imenima, napretku u Duolingo kursu i matičnoj zemlji. Ove poruke mogu sadržati pozivnice za putovanje u zemlje u kojima se govori jezik koji korisnik uči.
Takođe, sajber kriminalci mogu da se lažno predstavljaju kao Duolingo i šalju e-mailove sa linkovima ka navodnoj plaćenoj verziji Duolinga ili premium kursu. Ukoliko korisnik klikne na te linkove i unese svoje podatke za plaćanje, napadač može da ukrade te informacije.
Kako se nositi sa povredom podataka Duolinga?
Uklanjanje podataka sa veb-sajtova i aplikacija je čest problem koji pogađa mnoge velike tehnološke kompanije. Na primer, u aprilu 2021. godine, ukradeni su podaci od oko 500 miliona LinkedIn korisnika.
Ako sumnjate da su Vaši podaci ugroženi tokom ovog incidenta, postoje koraci koje možete preduzeti da biste rešili situaciju. Jedan od njih je da proverite da li su Vaše informacije kompromitovane posetom veb-sajtu HaveIBeenPwned. Oni tvrde da su svi kompromitovani podaci Duolinga već u njihovoj bazi podataka.
Da biste se zaštitili od phishing napada, pažljivo analizirajte e-mail poruke, posebno one koje deluju hitno. Proverite adrese pošiljaoca, izbegavajte kliktanje na sumnjive linkove i priloge i razmislite o instaliranju antivirusnog softvera za poboljšanu zaštitu od malvera u phishing porukama.
Čuvajte se napada lažnog predstavljanja i nikada ne delite osetljive informacije, kao što su korisnička imena i lozinke, putem e-maila, jer Duolingo nikada ne traži takve podatke putem e-maila. Takođe, pratite savete provajdera, promenite lozinku i razmislite o podešavanju dvofaktorske autentifikacije.
Šta ako niste sigurni u bezbednosne mere koje je Duolingo preduzeo kako bi zaštitio korisničke podatke? Ili, možda sumnjate u efikasnost sopstvenih postupaka? U tom slučaju, možete razmotriti korišćenje alternativnih aplikacija za učenje jezika.
Zaštitite svoje podatke i ojačajte svoju odbranu
Narušavanje bezbednosti podataka postalo je sve češće, a ukradeni detalji mogu da se koriste u različite svrhe, od marketinga do sajber napada, uključujući i pokušaje krađe identiteta. Trenutno, zlonamerni akteri imaju pristup mnogim informacijama korisnika Duolinga, uključujući njihova prava imena i adrese e-pošte.
Da bi se borili protiv povreda podataka, korisnici bi trebalo da preduzmu proaktivne korake, uključujući učenje o tome kako da prepoznaju potencijalne povrede i pokušaje lažnog predstavljanja, kao i da se zaštite od phishing napada.