Les données de 2,6 millions d'utilisateurs de Duolingo ont été partagées sur un forum de piratage. Le lot a été mis en vente pour 1 500 $ au mois de janvier, avant d'être diffusé quasi gratuitement cette semaine. Les données comportent des identifiants publics, un combo nom/prénom, mais aussi des adresses mail.
Les données ont été récupérées à l'aide d'une API publique de Duolingo permettant à quiconque de soumettre une adresse mail et d'obtenir un fichier JSON avec les informations du profil public de l'utilisateur lié. CyberNews estime que le pirate a dû récupérer une liste d'adresse mail dans une précédente fuite, qu'il a insérée dans l'API pour créer ce nouveau lot de données. La manœuvre permet de facilement confirmer qu'une adresse est associée à un compte Duolingo valide, tout en lui greffant au passage un tas d'informations.
Duolingo ne voit pas le problème avec cette API, partagée depuis le début d'année et décortiquée publiquement par des chercheurs. Si l'entreprise a confirmé que des informations de profils publics avaient été récupérées, elle se dédouane en rappelant que la liste de mails ne vient pas de chez elle.
Ces données ont été obtenues en récupérant des informations de profils publics. Rien n'indique que nos systèmes aient été compromis […] L'API utilisée dans cet incident est intentionnellement rendue publique pour aider nos apprenants à trouver des amis qui utilisent également Duolingo. Les apprenants de Duolingo ont la possibilité de rendre leur profil privé s'ils préfèrent qu'il ne soit pas consultable par le public.
Duolingo a tout de même précisé qu'elle examinait s'il y avait besoin de prendre des précautions supplémentaires. Les données partagées par les pirates seront parfaites pour de futures campagnes d’hameçonnage : certains champs spécifiques permettent de rapidement savoir si un utilisateur de Duolingo a plus de valeur qu'un autre (mail vérifié, compte Google lié, langue parlée, emplacement…). L'API fonctionne toujours à l'heure actuelle. En entrant mon mail, j'ai réussi à récupérer mon avatar en HD, une liste de mes cours suivis ainsi que mon nom et mon prénom.
