Se han filtrado los datos de 2,6 millones de usuarios de Duolingo en un foro de piratería. La información abarca desde datos públicos hasta datos privados, como direcciones de correo electrónico, por lo que los actores de amenazas podrían emplearlos para crear campañas de phishing más efectivas.
Esto no es nuevo. Todo empezó en enero de este año, cuando un pirata informático comenzó a vender datos extraídos del sitio en Breached, conocido como RaidForums antes de ser incautado por las fuerzas del orden. Por aquel entonces, dichos datos se ofrecían por 1.500 dólares en la plataforma.
Duolingo no le da demasiada importancia
En ese momento, la plataforma para aprender idiomas quiso quitarle hierro al asunto, asegurando que la información obtenida por los ciberdelincuentes era accesible de forma pública, por lo que no consideraban que se hubiera producido ninguna intrusión no deseada. Una estrategia que nos recuerda a la misma que siguió Linkedin cuando sufrió una suerte similar.
«Estos registros se obtuvieron mediante la recopilación de datos de información del perfil público. No se ha producido ninguna violación o piratería de datos. Nos tomamos en serio la privacidad y la seguridad de los datos y continuamos investigando este asunto para determinar si es necesario tomar alguna medida adicional para proteger a nuestros estudiantes,” explicó un portavoz de Duolingo a The Record.
Sin embargo, la explicación del raspado de datos no cuadra demasiado con lo ocurrido, ya que, entre esos datos públicos, también figuran los correos electrónicos de los usuarios, algo que es completamente privado.
La realidad es que, para lograrlo, los actores de amenazas han recurrido a una interfaz de programación de aplicaciones (API) similar a la utilizada en otra filtración acontecida en Twitter. Dicha API permitió que, con tan sólo introducir el nombre de un usuario, los ciberdelincuentes obtuvieran un JSON con datos vinculados a su cuenta.
Ahora los datos son mucho más baratos
Tras la captura de Pompompurin, el cabecilla de Breached, su sucesor (Baphomet) decidió cerrar el foro temporalmente, ya que sospechaba que las autoridades tuvieran acceso a los servidores del sitio. Y estaba en lo cierto. El FBI logró “colarse” y eso implicaba que el resto de los foreros podrían ser identificados.
No obstante, como suele suceder, el cierre de este tipo de foros no es una victoria definitiva, sino temporal. Y es que los piratas informáticos no suelen tardar demasiado en abrir sitios similares en los que poder proseguir con sus actividades ilegales. Así que los miembros de Breached no podían ser la excepción.
Y es en una nueva versión de este foro, donde han vuelto a ofrecerse los datos filtrados de estos 2,6 millones usuarios de Duolingo, pero esta vez por el valor de 8 créditos del sitio, lo que equivale al módico precio de 2,13 dólares.
«Hoy he subido Duolingo Scrape para que lo descargues, ¡gracias por leer y disfrutar!», se puede leer en una publicación en el foro de piratería.
Los usuarios sólo pueden ser precavidos
En este caso, no se han filtrado las credenciales de los usuarios, pero eso no significa que no existan riesgos. Los piratas informáticos pueden sacar partido de algunos datos privados, como sus direcciones de correo electrónico o números de teléfono, para desarrollar campañas de phishing más convincentes.
Por sí sólo, el phishing no es peligroso si sabemos identificarlo e ignorarlo. Sin embargo, si acabamos cayendo en la trampa, podemos convertirnos en víctimas de todo tipo de malware, incluyendo robo de credenciales o información bancaria y ransomware; algo que ya son palabras mayores.
Por desgracia, los usuarios no pueden hacer nada para evitar este tipo de filtraciones, salvo estar alerta ante la posible llegada de mensajes sospechosos a su bandeja de entrada. No obstante, la buena noticia es que sus cuentas no se han visto comprometidas, por lo que no deben preocuparse en ese sentido.
