Filtración de datos de Duolingo

Los tipos de datos verificados incluyen direcciones de correo electrónico, nombres, nombres de usuario, idiomas que los usuarios hablan o aprenden y cierta información relacionada con su progreso de aprendizaje. Al combinar la dirección de correo electrónico, el nombre de usuario y el nombre, es posible vincular los perfiles de una persona en distintas plataformas. Las preferencias de idioma pueden ayudar a un atacante a decidir en qué idioma enviar un mensaje y con qué objetivo de aprendizaje relacionarlo. Los campos como el progreso de aprendizaje o las puntuaciones también pueden reforzar la impresión de que la cuenta pertenece realmente a un usuario de Duolingo.

En este incidente, las contraseñas no son un campo de datos verificado. Por lo tanto, no se debe dar al usuario la impresión de que su contraseña se ha filtrado. El riesgo no reside tanto en que se haya comprometido directamente la cuenta, sino en que la dirección de correo electrónico se vincule con el perfil de Duolingo y esta información se utilice en mensajes dirigidos. Por ejemplo, los mensajes sobre cursos de idiomas, renovaciones de suscripción, verificación de cuentas, pérdida de nivel o advertencias sobre la racha de aprendizaje pueden resultar más convincentes. Los usuarios no deben considerar que la presencia de su nombre de usuario o del idioma que están aprendiendo en un mensaje sea una prueba de su legitimidad.

La fecha verificada del incidente se registra como enero de 2023; el conjunto de datos circuló más ampliamente en agosto de 2023. El número de registros afectados se mantiene en 2 676 696. Algunas fuentes pueden mencionar aproximadamente 2,6 millones o 2,7 millones de usuarios; estas cifras son representaciones redondeadas del mismo incidente. La cifra utilizada en este registro corresponde al recuento de registros únicos utilizados en la consulta. Los campos de datos se limitan al perfil de aprendizaje de idiomas y su vinculación con el correo electrónico.

No se debe ampliar el alcance del incidente. En este registro, las contraseñas, tarjetas de pago, cuentas bancarias, documentos de identidad oficiales, números de teléfono, direcciones físicas, contenido de lecciones privadas y mensajes privados no son categorías de datos verificadas. Aunque algunos campos del perfil puedan ser públicos, su vinculación masiva con una dirección de correo electrónico privada aumenta el impacto sobre la privacidad. Por lo tanto, no se debe considerar este registro como algo totalmente trivial, equivalente a una lista de perfiles públicos. La evaluación correcta debe basarse en el riesgo que surge de combinar los datos del correo electrónico y del perfil, y no en una toma de control directa de la cuenta.

El grupo de mayor riesgo está formado por las personas que utilizan su nombre real, un nombre de usuario reconocible o su dirección de correo electrónico principal en Duolingo. Es más fácil vincular los perfiles de quienes utilizan el mismo nombre de usuario en redes sociales, plataformas educativas o perfiles profesionales. La preferencia de idioma y el progreso de aprendizaje pueden dar pistas sobre los objetivos personales de un usuario o sobre los países que le interesan. Aunque esta información por sí sola no se considera altamente sensible, al combinarla con el correo electrónico y el nombre, los mensajes dirigidos pueden parecer más precisos.

Los estudiantes, docentes, personas que se preparan para exámenes, quienes aprenden un idioma para emigrar o trabajar y quienes utilizan su correo electrónico principal en cuentas educativas pueden quedar más expuestos. Los atacantes pueden aprovechar estas circunstancias para enviar alertas falsas sobre exámenes, certificados, suscripciones, regalos, verificación de cuentas o series de aprendizaje. Como no hay una filtración de contraseñas, el riesgo de toma de control directa de la cuenta es limitado; sin embargo, el riesgo de ingeniería social, correo no deseado y vinculación de perfiles es real.

Utilizar una contraseña segura y única en su cuenta de Duolingo es una buena medida de seguridad; sin embargo, en este caso, como no se ha confirmado que la contraseña se haya filtrado, la prioridad principal es identificar los mensajes sospechosos. Preste atención a los enlaces en mensajes de verificación de cuentas, suscripciones, pérdida de nivel, rachas de aprendizaje, certificados o campañas que se envíen en nombre de Duolingo. Aunque su nombre, su nombre de usuario o el idioma que está aprendiendo aparezcan correctamente en el mensaje, esta información podría haberse obtenido de un conjunto de datos. Si necesita realizar alguna acción, acceda directamente al servicio a través de su dirección oficial.

Revise las secciones visibles de su perfil para reducir la vinculación entre su nombre real, su nombre de usuario público y su correo electrónico principal. Si utiliza su dirección de correo electrónico principal en demasiadas actividades de formación, campañas o cuentas de redes sociales, puede optar por direcciones de correo electrónico separadas. No comparta contraseñas, información de pago ni códigos de un solo uso en correos electrónicos o mensajes inesperados. Active la autenticación de dos factores en su cuenta de correo electrónico y revise las sesiones sospechosas. En este caso, que no haya una filtración de contraseñas no significa que deba ignorar todos los riesgos.

A largo plazo, los usuarios deben comprobar periódicamente qué campos de sus perfiles son públicos en las plataformas educativas y sociales. Al combinar el nombre real, el nombre de usuario, los objetivos de aprendizaje de idiomas, la foto de perfil y la vinculación con el correo electrónico, una persona puede resultar fácilmente reconocible. En lugar de utilizar la dirección de correo electrónico principal para todos los servicios, asignar direcciones separadas a distintos fines reduce el impacto de este tipo de incidentes de recopilación masiva de datos. El uso de un gestor de contraseñas y de la autenticación de dos factores sigue siendo recomendable para la seguridad general de las cuentas.

Desde la perspectiva de los operadores de plataformas, el incidente de Duolingo muestra que incluso los datos aparentemente públicos pueden suponer un riesgo para la privacidad cuando se vinculan con direcciones de correo electrónico privadas. Los procesos de consulta de cuentas deben incorporar límites para prevenir abusos, los comportamientos de extracción masiva de datos deben detectarse de forma temprana y la relación entre los campos privados y los campos del perfil no debe exponerse innecesariamente. Las plataformas educativas no deben tratar campos como los objetivos de aprendizaje y las preferencias de idioma de los usuarios como simples datos básicos del perfil.

Si encuentra una coincidencia en este registro, su cuenta podría estar entre los 2 676 696 registros asociados con la filtración de datos de Duolingo. Una coincidencia no significa que su contraseña o su información de pago se hayan filtrado. Los campos verificados incluyen el correo electrónico, el nombre, el nombre de usuario, los idiomas que habla o aprende y cierta información sobre su progreso de aprendizaje. El primer paso es extremar la precaución con los mensajes relacionados con Duolingo que reciba en esta dirección de correo electrónico y no hacer clic directamente en los enlaces.

Revise la información que se muestra en su perfil de Duolingo, reduzca la presencia de su dirección de correo electrónico principal en lugares donde no sea necesaria y mantenga activada la verificación adicional en su cuenta de correo electrónico. Si utiliza el mismo nombre de usuario en otras plataformas, tenga en cuenta el riesgo de vinculación de perfiles. La forma adecuada de abordar una filtración de datos de Duolingo no es exagerar el incidente y presentarlo como una filtración de contraseñas, sino reducir los riesgos para la privacidad y los asociados a los mensajes dirigidos que surgen al vincular los datos de su perfil y de su aprendizaje con su dirección de correo electrónico.