首页

其他

低至2美元，260万多邻国用户数据在黑客论坛上泄露

低至2美元，260万多邻国用户数据在黑客论坛上泄露

多邻国（Duolingo）拥有超过7400万月活跃用户。据外媒报道，该平台约有260万用户的数据在一个黑客论坛上被泄露。

Twitter网站上放出的暗网黑客论坛截图

一名黑客在暗网论坛上出售了超过260万多邻国用户的数据，包括用户账号名称、真实姓名、电子邮件地址等个人信息。这些数据最早于2023年1月在黑客论坛上以1500美元的价格被出售，但随后相关帖子被关闭。

随后，另一名黑客在另一个论坛上以8个站点积分（约合2.13美元）的价格再次售卖这些数据。这些数据是通过一个公开的应用程序编程接口（API）收集的，自2023年3月以来一直在公开分享。该API允许任何人提交用户名并检索包含该用户公开信息的JSON格式输出。但是，也可以将电子邮件地址输入 API 并确认它是否与有效的 DuoLingo 帐户关联。

BleepingComputer 已确认，即使在3月份向 DuoLingo 报告了该 API 的滥用情况，网络上的任何人仍然可以公开使用该 API。

该 API 允许抓取工具将数百万个可能在之前的数据泄露中暴露的电子邮件地址输入 API 中，并确认它们是否属于 DuoLingo 帐户。然后，这些电子邮件地址用于创建包含公共和非公共信息的数据集。

另一位威胁参与者分享了他们自己的 API 抓取，指出希望在网络钓鱼攻击中使用数据的威胁参与者应该注意特定字段，这些字段表明 DuoLingo 用户比普通用户拥有更多权限，因此是更有价值的目标。

BleepingComputer 已联系 DuoLingo，询问为何该 API 仍可公开使用，但在本文发布时尚未收到回复。

通过该API，用户还可以检索电子邮件地址，从而确认与多邻国账号相关联的信息。开发者TroyHunt已经将这260万多邻国用户的数据整合到一个网站上，用户可以在该网站上检查自己的个人信息是否受到泄露。

此次数据泄露引发了人们对滥用被泄露数据的担忧。随着电子邮件地址落入网络犯罪分子手中，用户可能成为网络钓鱼和身份盗窃的目标。

近期热映的中国电影《孤注一掷》讲述了网络诈骗受害者的故事，与此事件相呼应。

网络安全专家警告称，这类暴露的数据可能为提取更多个人信息或将恶意软件注入毫无戒心的用户设备的欺骗性消息铺平道路。

鉴于这些令人担忧的情况，Duolingo采取了积极主动的态度。一位Duolingo发言人澄清了情况，并表示：“这些记录是通过获取公开个人资料信息的数据得到的。” 这一承认展示了该公司的透明度和积极解决违规问题的承诺。

“本次事件中使用的 API 是故意公开的，以帮助我们的学习者找到也在使用 Duolingo 的朋友。如果 Duolingo 学习者不想让自己的个人资料被公开搜索，他们可以选择将自己的个人资料设为私有。”该发言人评论道。

公司倾向于认为抓取的数据不是问题，因为大多数数据已经公开，即使它们不一定容易编译。

然而，当公共数据与电话号码和电子邮件地址等私人数据混合时，往往会使暴露的信息风险更大，并可能违反数据保护法。

例如，2021 年， Facebook 遭受了大规模泄密， 原因是“添加好友”API 漏洞被滥用，将 5.33 亿用户的电话号码与 Facebook 账户关联起来。爱尔兰数据保护委员会 (DPC) 随后因泄露抓取数据而对Facebook 处以 2.65 亿欧元（2.755 亿美元）的罚款。

最近， Twitter API 漏洞被用来抓取 数百万用户的公共数据和电子邮件地址， 导致 DPC 展开调查。