Spotify resetea la contraseña de más de 300.000 cuentas de usuarios de Spotify, debido a un ataque.

Noam Rotem y Ran Locar, investigadores de vpnMentor, han emitido un informe acerca de una base de datos de 72GB expuesta en la red que contendría 380 millones de combinaciones de usuario y contraseña utilizadas para un ataque de relleno de credenciales de Spotify.

Este tipo de ataque consiste en recopilar una serie de combinaciones de usuario y contraseña que hayan sido filtrados previamente en brechas de seguridad y utilizarlos para acceder a las cuentas de usuario en otros servicios o plataformas online.

Los orígenes de la base de datos y cómo los estafadores estaban atacando a Spotify son desconocidos. Los ciberdelincuentes estaban probablemente utilizando credenciales de inicio de sesión robadas de otra plataforma, aplicación o sitio web para acceder a cuentas de Spotify.

Cada registro en esta base de datos, alojada en un servidor Elasticsearch público y sin cifrar, contiene una dirección de correo electrónico, una contraseña, y si las credenciales podrían servir para iniciar sesión en Spotify. La configuración poco segura del servidor ha sido el elemento clave para la detección de los datos, ya que manipulando diversos criterios de búsqueda de la URL a través del navegador consiguieron acceder al esquema de cada índice.

Los investigadores creen que los 380 millones de registros podrían haber permitido a actores maliciosos acceder a entre 300.000 y 350.000 cuentas de Spotify. Al margen del riesgo que esto conlleva respecto al acceso indebido a la plataforma, estas bases de datos con información personal pueden ser utilizadas para dirigir campañas de phishing o fraude financiero a los usuarios cuyas credenciales han sido vulneradas.

El equipo de vpnMentor se puso en contacto con Spotify a principios del mes de julio, y durante las siguientes semanas llevaron a cabo el reinicio de contraseñas para los usuarios afectados en esta filtración, que recibieron un correo electrónico con información sobre lo sucedido.

Desde Hispasec Sistemas recomendamos no reutilizar la misma contraseña para distintos servicios online, así como utilizar generadores de contraseñas seguros para prevenir este tipo de ataques.

Más información:
Over 300K Spotify accounts hacked in credential stuffing attack https://www.bleepingcomputer.com/news/security/over-300k-spotify-accounts-hacked-in-credential-stuffing-attack/