Reports
CRÍTICA[AUTENTICACIÓN]#3080597

Khan Academy: acceso a cuentas ajenas con credenciales filtradas en texto claro y visibles en VirusTotal

Un investigador encontró en VirusTotal el email y la contraseña de un usuario de Khan Academy en texto claro. Con ellos bastaba un login normal para entrar en la cuenta, sin segundo factor ni aviso al usuario.

Resumen
Resumen en castellano de un reporte público, no una traducción literal. El código y los comandos se mantienen como en el original.

Resumen

Este reporte no describe un fallo en el código de Khan Academy, sino un problema de exposición: unas credenciales válidas de un usuario de khanacademy.org estaban a la vista de cualquiera en VirusTotal, en texto claro. Como el inicio de sesión no pedía ninguna verificación adicional, quien encontrase esos datos podía entrar en la cuenta directamente y el titular no recibía ningún aviso.

Los datos aparecían en una línea con la URL de inicio de sesión seguida de campos separados por comas, entre ellos el email y la contraseña (censurados en la divulgación):

https://en.khanacademy.org/login,██████,,█████████,,,█████████,██████████,Personal

El investigador indica que ya había enviado al programa un caso parecido (reporte 2981324) y que en este nuevo caso las credenciales de la víctima estaban archivadas en texto claro. HackerOne lo clasifica como "Cleartext Storage of Sensitive Information" con severidad crítica. Se envió el 7 de abril de 2025, figura como resuelto y se divulgó el 7 de mayo de 2025.

Pasos de reproducción

  1. Localizar en VirusTotal el contenido archivado que incluye la línea anterior, con la URL https://en.khanacademy.org/login, el email y la contraseña de la víctima en claro.
  2. Abrir la página de inicio de sesión de Khan Academy.
  3. Escribir el email y la contraseña obtenidos ([REDACTADO] en este artículo).
  4. La sesión se abre en la cuenta de la víctima sin que se pida ninguna verificación adicional ni se notifique al usuario.

Impacto

  • Control total de la cuenta de la víctima sin que se entere.
  • Acceso a los datos personales que guarda la cuenta: progreso de aprendizaje, mensajes y cuentas vinculadas, según el reporte.
  • Si la cuenta está vinculada a otros servicios, el investigador apunta que el acceso podría aprovecharse más allá de Khan Academy, con posibles daños económicos o de reputación.

Remediación

El reporte figura como resuelto, pero no explica qué medidas tomó Khan Academy. La recomendación del investigador era hacer obligatoria la autenticación en dos pasos, sobre todo en las cuentas cuyas credenciales se sepa que se han filtrado.

Qué aprender de este caso

  • Cuando un servicio de análisis público como VirusTotal guarda ficheros o textos con credenciales, cualquiera puede buscarlas: merece la pena buscar ahí la URL de login de tu propia aplicación (por ejemplo, /login con tu dominio) para detectar cuentas expuestas antes que un atacante.
  • Un login que solo pide email y contraseña convierte cualquier filtración externa en un robo de cuenta inmediato; un segundo factor, al menos para las cuentas que aparezcan en filtraciones, corta ese camino.
  • Avisar al usuario de los inicios de sesión desde un dispositivo o ubicación nuevos hace visible un acceso que, de otro modo, pasa desapercibido.
  • Ante una credencial filtrada, lo práctico es forzar el cambio de contraseña de esa cuenta y cerrar sus sesiones abiertas.