El sitio CyberNews informa que la popular aplicación para aprender lenguajes sufrió una filtración:
«Duolingo, la popular aplicación de aprendizaje de idiomas, ha expuesto a algunos de sus usuarios en línea. Los datos extraídos de 2.6 millones de personas, que estuvieron a la venta en enero, ahora están disponibles en el mercado de cibercrimen BreachForums. La API abierta permite extraer más datos», informó.
A Threat Actor identified a bug in the Duolingo API. Sending a valid email to the API returns generic account information on the user (name, email, languages studied).
They used an email list to assemble over 2.6m unique entries.
This will be used for doxxing.
— vx-underground (@vxunderground) August 21, 2023
La lista completa, que contiene más de 2,6 millones de entradas únicas, ha estado a la venta en un foro de hackers desde enero con un precio inicial de 1,500 dólares, abierta a negociaciones. Desde entonces, la compañía reconoció el problema y comentó al Record que los datos fueron extraídos de la información del perfil público, pero que no se había producido ninguna violación o piratería de datos.
La empresa Malwarebytes Corporation, creadora de Malwarebytes (anteriormente Malwarebytes Anti-Malware, abreviado como MBAM), un software anti-malware que detecta y elimina el malware, informó también sobre el tema:
«Los datos se extrajeron de la información del perfil público mediante el uso de una interfaz de programación de aplicaciones (API) expuesta. El 2 de marzo, un investigador llamado Ivano Somaini tuiteó cómo se podía aprovechar la API de Duolingo para comprobar si una dirección de correo electrónico está asociada a una cuenta de Duolingo.
La API permite que cualquiera ejecute una consulta enviando un nombre de usuario o una dirección de correo electrónico para confirmar si está asociada con una cuenta DuoLingo válida. Bleeping Computer ha confirmado que esta API todavía está disponible abiertamente para cualquier persona en la web, incluso después de que se informara su abuso a DuoLingo en enero».
DuoLingo es una plataforma educativa famosa por sus programas de aprendizaje de idiomas. Según un comunicado de prensa de mayo de 2023, DuoLingo tiene 72,6 millones de usuarios activos mensuales.
Estas son las acciones que recomendó la empresa para el tema de la filtración de datos:
- Consulte los consejos del proveedor. Cada infracción es diferente, así que consulte con el proveedor para averiguar qué sucedió y siga los consejos específicos que le ofrezcan.
- Cambia tu contraseña. Puedes hacer que una contraseña robada sea inútil para los ladrones cambiándola. Elija una contraseña segura que no utilice para nada más. Mejor aún, deje que un administrador de contraseñas elija una por usted.
- Habilite la autenticación de dos factores (2FA). Si puede, utilice una llave de hardware, una computadora portátil o un teléfono compatible con FIDO2 como segundo factor. Algunas formas de autenticación de dos factores (2FA) pueden ser objeto de phishing tan fácilmente como una contraseña. La 2FA que depende de un dispositivo FIDO2 no puede ser objeto de phishing.
- Cuidado con los vendedores falsos. Los ladrones pueden contactarlo haciéndose pasar por el vendedor. Consulte el sitio web del proveedor para ver si se están comunicando con las víctimas y verifique cualquier contacto utilizando un canal de comunicación diferente.
- Tome su tiempo. Los ataques de phishing a menudo se hacen pasar por personas o marcas que conoce y utiliza temas que requieren atención urgente, como entregas perdidas, suspensiones de cuentas y alertas de seguridad.
Para más información, puedes visitar la página de Malwarebytes.