Se reportó la exposición de datos de más de 2,6 millones de usuarios de DuoLingo en un foro de hacking. Los actores de amenazas utilizaron esta información para realizar ataques de phishing dirigidos.
DuoLingo: uno de los principales sitios de aprendizaje de idiomas
DuoLingo es uno de los sitios de aprendizaje de idiomas más grandes del mundo, con más de 74 millones de usuarios mensuales en todo el mundo.
Los datos se vendieron en un foro cerrado
En enero de 2023, alguien estaba vendiendo los datos extraídos de 2,6 millones de usuarios de DuoLingo en el ahora cerrado foro de piratería Breached por 1.500 dólares.
Los datos incluyen información sensible
Estos datos incluyen una mezcla de datos de autenticación y nombres reales, e información no pública, incluidas direcciones de correo electrónico e información interna relacionada con el servicio de DuoLingo.
Direcciones de correo electrónico son un riesgo
Si bien el nombre real y el nombre de inicio de sesión están disponibles públicamente como parte del perfil de Duolingo de un usuario, las direcciones de correo electrónico son más preocupantes, ya que permiten que estos datos públicos se utilicen en ataques.
DuoLingo confirmó la exposición
Cuando los datos estuvieron a la venta, DuoLingo confirmó a TheRecord que fueron extraídos de la información del perfil público y que estaban investigando si se debían tomar más precauciones. Sin embargo, Duolingo no abordó el hecho de que las direcciones de correo electrónico también se incluyeron en los datos.
Los datos se publicaron nuevamente en un foro
Tal como lo detectó por primera vez VX-Underground, el conjunto de datos extraído de 2,6 millones de usuarios se publicó ayer en una nueva versión del foro Breached por 8 créditos de sitio, por un valor de solo U$S 2,13.
La API expuesta permitió la extracción
Estos datos se obtuvieron utilizando una interfaz de programación de aplicaciones (API) expuesta que se ha compartido abiertamente desde al menos marzo de 2023, y los investigadores tuitearon y documentaron públicamente cómo usar la API.
La API permite el scraping
La API permite que cualquiera envíe un nombre de usuario y recupere la salida JSON que contiene la información del perfil público del usuario. Sin embargo, también es posible introducir una dirección de correo electrónico en la API y confirmar si está asociada con una cuenta de DuoLingo válida.
La API sigue disponible
BleepingComputer ha confirmado que esta API todavía está abiertamente disponible para cualquier persona en la web, incluso después de que DuoLingo informara sobre su abuso en enero.
Los datos se usaron para ataques de phishing
Esta API permitió que se realizara scraping y se robaran millones de direcciones de correo electrónico, probablemente expuestas en violaciones de datos anteriores, en la API y confirmar si pertenecían a cuentas de DuoLingo. Estas direcciones de correo electrónico se usaron luego para crear el conjunto de datos que contiene información pública y no pública.
Un actor compartió su propio scraper
Otro actor de amenazas compartió su propio scraper de API, señalando que los actores de amenazas que deseen utilizar los datos en ataques de phishing deben prestar atención a campos específicos que indican que un usuario de DuoLingo tiene más permiso que un usuario normal y, por lo tanto, son objetivos más valiosos.
Se contactó a DuoLingo sin respuesta
BleepingComputer se ha puesto en contacto con DuoLingo con preguntas sobre por qué la API todavía está disponible públicamente, pero no recibió una respuesta en el momento de esta publicación.