Gravité modéréeFuite vérifiée
Fuite de données Duolingo
2 676 696 comptes
Voici ce qui a fuité, ce que ça change pour vous et les gestes à faire.
Duolingo, c’est quoi ?
Duolingo est l’application verte au hibou qui a fait réviser leur anglais (ou leur espagnol) à des millions de Français. Vous êtes potentiellement concerné si vous aviez un compte début 2023, même pour quelques leçons abandonnées depuis.
Ce qui s’est passé
En août 2023, 2,6 millions d’enregistrements extraits de Duolingo ont été largement diffusés sur un forum de pirates, après avoir été mis en vente dès janvier. Les données ont été obtenues en exploitant une API vulnérable, par « moissonnage » massif.
Ce n’est pas un piratage des comptes : aucun mot de passe n’a été compromis. La fuite relie des adresses email privées aux profils publics : noms, pseudos, langues apprises, progression. C’est ce rapprochement entre votre identité publique et votre adresse privée qui a de la valeur pour les fraudeurs.
Mail frauduleux Duolingo : comment le reconnaître
Des faux mails au nom de Duolingo circulent en France. Exemple signalé le 13 août 2026 : une « confirmation de renouvellement » de la formule Super Duolingo pour 12 mois, à 137,99 €, avec 14 jours « pour demander l’annulation et le remboursement » en cliquant sur un lien. Le lien menait vers un site hébergé sur netlify.app, et l’expéditeur était une adresse en .com.br, sans aucun rapport avec Duolingo.
Les signes qui doivent vous arrêter : un renouvellement ou un montant que vous n’attendiez pas, un délai qui presse, un lien pour « être remboursé » qui demande vos coordonnées bancaires, une adresse d’expéditeur ou un lien qui n’appartient pas à Duolingo.
Le bon réflexe : ne cliquez pas, et vérifiez votre abonnement directement dans l’application Duolingo ou dans les abonnements de votre téléphone (App Store, Google Play). Si vous avez déjà saisi vos coordonnées bancaires, appelez tout de suite votre banque pour faire opposition, puis signalez le mail sur signal-spam.fr. Rien ne prouve que cette campagne utilise les adresses de la fuite de 2023, mais c’est exactement le genre de mail qu’une adresse exposée risque de recevoir.
Source : Signal Arnaques, signalement du 13/08/2026
Les données exposées
- adresses email
- noms
- langues parlées
- noms d’utilisateur
Les personnes touchées ne sont pas forcément concernées par chaque catégorie.
Le niveau de risque
Gravité modérée : ni mot de passe ni donnée bancaire, mais des données personnelles durablement exploitables.
Le risque est le hameçonnage ciblé : un faux mail Duolingo (« votre série va expirer », « passez à Super Duolingo ») envoyé à la bonne adresse, avec votre vrai pseudo et votre vraie langue d’apprentissage, est très convaincant. Rien à changer côté mot de passe. La vigilance suffit : passez toujours par l’application elle-même.
Que faire si vous êtes concerné
- Votre nom est potentiellement exposé. Il ne peut pas être effacé d’Internet : un message qui le cite ne prouve donc pas qu’il est sérieux.
- Des e-mails ou des SMS imitant Duolingo peuvent utiliser vos vraies informations pour paraître crédibles : c’est ce qu’on appelle le phishing.
- Par précaution, vous pouvez activer la double authentification sur votre boîte mail : c’est elle qui reçoit les liens « mot de passe oublié » de vos autres comptes.
Bon à savoir : vous pouvez signaler les tentatives d’arnaque : transférer les SMS frauduleux au 33700, signaler les e-mails sur signal-spam.fr et retrouver les bons réflexes sur cybermalveillance.gouv.fr.
Pour aller plus loin : Reconnaître les arnaques qui suivent une fuite · Mon adresse e-mail est dans une fuite : que faire ?