Данните на над 2 000 000 потребители на DuoLingo се появиха в хакерски форум

В началото на тази година, открадната информация от популярния сайт за чуждоезиково обучение DuoLingo се появява във вече нефункциониращия хакерски форум Breached. Данните са предложени за продажба и какво се е случило с тях след закриването на Breached, не беше известно. До тази седмица, когато информация, свързана с 2.6 милиона потребители на DuoLingo се появи в друг хакерски форум в свободен достъп, предава Bleeping Computer.

Това, което е успокояващо в случая е, че няма чувствителни данни, като например банкови данни или пароли. В пакета с информация обаче присъстват имейл адреси. Когато през януари, неизвестна страна обяви за продан въпросните данни, от DuoLingo заявиха, че информацията е достигната не чрез атака към форума, а чрез автоматизирано извличане на публично достъпна информация на сайта. Но имейл адресите на потребителите не са публично достъпни от сайта данни. Данните са се появили на една нова версия на Breached и се продава за осем форумни кредита или $2.13.

Данните се оказва, че са били извлечени чрез публично изложен апликационно-програмен интерфейс, който е бил достъпен поне от март тази година. Той позволява всеки да направи запитване чрез потребителско име към сайта и да получи JSON резултат, съдържащ публичната профилна информация на въпросния човек. Откритият достъп до интерфейс остава и сега, независимо от сигналите, които специалистите пускат към DuoLingo. Освен потребителско име е възможно и подаването на имейл адрес към интерфейса, като например такъв, който може да се открие в някой от множеството хакерски пробиви от последните години. Именно по такъв начин се предполага, че е и съставена базата данни с публична и непублична информация на потребителите на сайта.