Más de 300,000 cuentas de Spotify hackeadas en un ataque de (Credential Stuffing ) relleno de credenciales

Hackers han intentado obtener acceso a las cuentas de Spotify utilizando una base de datos de 380 millones de registros. Estos registros contienen credenciales de inicio de sesión e información personal recopilada de diversas fuentes.

En HackWise hemos desarrollado la herramienta Buscador de Leaks, la cual permite a los usuarios con membresía Wiser Elite buscar dentro de múltiples Data Breaches para conocer si su correo y contraseñas han sido filtradas en algún Hackeo.

Conoce cualquier contraseña que haya sido filtrada con el Buscador de Leaks

Durante años, los usuarios se han quejado de que sus cuentas de Spotify fueron hackeadas después de que fueron cambiadas las contraseñas. Los usuarios aseguran que después de esto aparecieron nuevas listas de reproducción en sus perfiles o sus cuentas familiares tenían extraños agregados de otros países.

Un informe detalla cómo una base de datos con más de 380 millones de registros, incluidas las credenciales de inicio de sesión es la causa. Esta base de datos se usa activamente para hackear cuentas de Spotify; a partir de ahí podemos entender la causa de estas violaciones de cuentas.

300 millones de registros con información de usuario para hackear cuentas de Spotify

Un ataque común que se usa para hackear cuentas se llama ataque de relleno de credenciales. Es cuando los actores de amenazas hacen uso de grandes colecciones de combinaciones de nombre de usuario/contraseña que se filtraron en brechas de seguridad anteriores. Utilizan estas credenciales para obtener acceso a cuentas de usuario en otras plataformas en línea.

Hoy, VPNMentor publicó un informe sobre una base de datos expuesta en Internet que contenía 300 millones de combinaciones de nombre de usuario y contraseña. Estas credenciales están siendo utilizadas en ataques de relleno de credenciales contra Spotify.

Cada registro de esta base de datos contiene un nombre de inicio de sesión (dirección de correo electrónico) y una contraseña. Y, si las credenciales pudieron iniciar sesión correctamente en una cuenta de Spotify, se puede ver una imagen como se muestra a continuación.

No se sabe cómo se recopilaron los 300 millones de registros. No obstante, es probable que sea a través de violaciones de datos o grandes “colecciones” de credenciales. Los actores de amenazas suelen publicar de forma gratuita estas recopilaciones.

Los investigadores creen que los 300 millones de registros que figuran en la base de datos permitieron a los atacantes vulnerar muchas cuentas. Las estimaciones afirman que entre 300,000 y 350,000 cuentas de Spotify fueron hackeadas con este método.

VPNMentor se puso en contacto con Spotify el 9 de julio de 2020 sobre la base de datos expuesta y su amenaza para las cuentas. Ellos recibieron una respuesta el mismo día.

“En respuesta a nuestra consulta, Spotify inició un ‘restablecimiento continuo’ de las contraseñas para todos los usuarios afectados.  Como resultado, la información de la base de datos se anularía y se volvería inútil”, afirmaron los investigadores.

Medidas tomadas

Para aquellos usuarios cuyas cuentas se vieron comprometidas, Spotify realizó un restablecimiento de contraseñas en julio.

Spotify no admite la autenticación multifactor, lo que aumentaría en gran medida la seguridad de las cuentas. Spotify aún no lo implementa a pesar de que los usuarios lo han estado solicitando durante algún tiempo.