Дані понад 300 тисяч користувачів Spotify опинились у відкритому доступі

Популярний музичний сервіс Spotify запустив процедуру скидання паролів для кількох сотень тисяч користувачів, чиї облікові дані могли опинитися у відкритому доступі. 

Про це повідомляє ZDNet.

Базу даних Elasticsearch об’ємом 72 Гбайт виявили у відкритому доступі дослідники з vpnMentor Ноам Ротем і Ран Локар.

База знаходилася в незашифрованому вигляді і містила понад 380 млн записів, «включно з обліковими даними для входу та іншими даними користувачів, що перевіряються службою Spotify».

Крім того, база містила й іншу інформацію, зокрема адреси електронних поштових скриньок, місця проживання, а в деяких випадках IP-адреси (швидше за все це були IP-адреси проксі-серверів, що належать операторам мережі, в якій розміщувалася база даних).

Згідно з оцінками дослідників, витік даних зачіпає від 300 до 350 тисяч користувачів Spotify.

Варто зазначити, що проблема торкнулася порівняно невеликої кількості клієнтів музичного сервісу, база користувачів якого налічує близько 299 млн осіб.

Точне походження бази даних невідомо. Однак дослідники наголошують, що сам сервіс Spotify зламаний не був. У дослідницькій групі vpnMentor припускають, що інформація могла бути зібрана хакерами з різних сторонніх джерел і витоків даних.

База даних могла використовуватися для проведення кібератак з підстановкою облікових даних (для злому облікових записів користувачів, фінансового шахрайства та крадіжки особистих даних, фішингових атак). Йдеться про атаки, коли зловмисники намагаються за допомогою логінів і паролів користувачів пройти авторизацію на інших платформах або у веб-додатках.

«Ці облікові дані, швидше за все, були отримані незаконним шляхом або стали результатом витоків з інших джерел, після чого були перепрофільовані для проведення атак з використанням облікових даних Spotify», – наголосили дослідники.

Проблема була виявлена кілька місяців тому – на початку липня, після чого дослідники повідомили про неї Spotify.

Музичний сервіс здійснив необхідні дії для захисту даних користувачів, запустивши процедуру скидання паролів для облікових записів, які могли бути скомпрометовані. В результаті інформація у виявленій базі даних буде анульована і стане марною.