Datos raspados de 2.6 millones de usuarios de Duolingo publicados en un foro de hackers

Los datos raspados de 2.6 millones de usuarios de DuoLingo se filtraron en un foro de hackers, permitiendo a los actores de amenazas llevar a cabo ataques de phishing dirigidos utilizando la información expuesta.

Duolingo es uno de los sitios de aprendizaje de idiomas más grandes del mundo, con más de 74 millones de usuarios mensuales en todo el mundo.

En enero de 2023, alguien vendía los datos raspados de 2.6 millones de usuarios de DuoLingo en el foro de hackers Breached, ahora cerrado, por $1,500.

Estos datos incluyen una combinación de nombres de inicio de sesión públicos y nombres reales, e información no pública, incluyendo direcciones de correo electrónico e información interna relacionada con el servicio DuoLingo.

Aunque el nombre real y el nombre de inicio de sesión están disponibles públicamente como parte del perfil de un usuario de Duolingo, las direcciones de correo electrónico son más preocupantes ya que permiten que estos datos públicos se utilicen en ataques.

Datos raspados de Duolingo en venta en un foro de hackers

Fuente: Falcon Feeds

Cuando los datos estaban a la venta, DuoLingo confirmó a TheRecord que se raspó de la información del perfil público y que estaban investigando si se debían tomar precauciones adicionales.

Sin embargo, Duolingo no abordó el hecho de que las direcciones de correo electrónico también estaban listadas en los datos, lo cual no es información pública.

Como lo detectó por primera vez VX-Underground, el conjunto de datos raspados de 2.6 millones de usuarios se publicó ayer en una nueva versión del foro de hackers Breached por 8 créditos del sitio, valorados en solo $2.13.

"Hoy he subido el raspado de Duolingo para que lo descargues, ¡gracias por leer y disfrutar!", se lee en una publicación del foro de hackers.

Estos datos se raspaban utilizando una interfaz de programación de aplicaciones (API) expuesta que se ha compartido abiertamente desde al menos marzo de 2023, con investigadores tuiteando y documentando públicamente cómo usar la API.

La API permite a cualquiera enviar un nombre de usuario y recibir una salida JSON que contiene la información del perfil público del usuario. Sin embargo, también es posible introducir una dirección de correo electrónico en la API y confirmar si está asociada con una cuenta válida de DuoLingo.

BleepingComputer ha confirmado que esta API todavía está abiertamente disponible para cualquiera en la web, incluso después de que su abuso fue reportado a DuoLingo en enero.

Esta API permitió al raspador introducir millones de direcciones de correo electrónico, probablemente expuestas en filtraciones de datos anteriores, en la API y confirmar si pertenecían a cuentas de DuoLingo. Estas direcciones de correo electrónico se utilizaron luego para crear el conjunto de datos que contiene información pública y no pública.

Otro actor de amenazas compartió su propio raspado de la API, señalando que los actores de amenazas que deseen utilizar los datos en ataques de phishing deben prestar atención a campos específicos que indican que un usuario de DuoLingo tiene más permisos que un usuario regular y, por lo tanto, son objetivos más valiosos.

BleepingComputer ha contactado a DuoLingo con preguntas sobre por qué la API todavía está públicamente disponible, pero no recibió una respuesta en el momento de esta publicación.

Datos raspados regularmente desestimados

Las empresas tienden a desestimar los datos raspados como si no fueran un problema, ya que la mayoría de los datos ya son públicos, aunque no necesariamente fáciles de compilar.

Sin embargo, cuando los datos públicos se mezclan con datos privados, como números de teléfono y direcciones de correo electrónico, tiende a hacer que la información expuesta sea más riesgosa y potencialmente viole las leyes de protección de datos.

Por ejemplo, en 2021, Facebook sufrió una filtración masiva después de que un error en la API "Agregar amigo" fue explotado para vincular números de teléfono a cuentas de Facebook de 533 millones de usuarios. La comisión de protección de datos irlandesa (DPC) posteriormente multó a Facebook con €265 millones ($275.5 millones) por esta filtración de datos raspados.

Más recientemente, un error en la API de Twitter se utilizó para raspar los datos públicos y las direcciones de correo electrónico de millones de usuarios, lo que llevó a una investigación por parte del DPC.

Fuente y créditos: Scraped data of 2.6 million Duolingo users released on hacking forum (bleepingcomputer.com)

Contenido traducido al español con fines informativos, cualquier cambio en la publicación original no será reflejada en esta entrada, favor referirse a la fuente para obtener el acceso a cualquier actualización del contenido. Para la traducción se utilizó ChatGPT, al ser una traducción automática puede contener errores gramaticales o de otro tipo, favor enviar comentarios al moderador para corregir.