目录导航
Spotify数据泄露摘要
| 公司名称 | Spotify |
| 公司总部 | 瑞典斯德哥尔摩 |
| 行业 | 音乐流媒体 |
| 数据大小（G为单位）和记录数 | 72 GB；3.8亿条记录 |
| 受影响的用户 | 300,000 – 350,000 |
| 日期范围/时间轴 | 未知 |
| 地理范围 | 未知 |
| 公开的数据类型 | 电子邮件地址; 登录凭据（用户名和密码） |
| 潜在影响 | 身份盗窃和诈骗；网上诱骗和恶意软件；帐户滥用,凭证填充 |
| 资料储存格式 | 打开和未加密的Elasticsearch服务器；暴露的MySQL服务器 |
Spotify公司简介
Spotify可能是全球最受欢迎的音乐和音频媒体流服务，到2020年，每月活跃用户将超过2.99亿。
该公司于2006年在瑞典斯德哥尔摩成立，并在两年后推出了首个版本的Spotify应用，该流中有6000万首歌曲可供流媒体播放，并且自那以后发展迅速。
Spotify于2018年4月上市，跳过了传统的IPO，直接在纽约证券交易所上市。该公司的股价最近飙升，自2020年3月以来价值翻了一番，这很可能是由于在锁定状态下留在家里的听众的参与度提高了(疫情)。
数据泄露详情
7月3日，由Ran Locar和Noam Rotem领导的VpnMentor的研究小组发现了一个托管在不受保护的Elasticsearch服务器上的数据库，并怀疑该数据库是凭据填充操作的一部分，其来源尚未确定。
72GB的数据库包含超过3.8亿个Spotify用户的记录，包括
敏感数据，如用户名/密码，电子邮件ID，居住国家和Spotify用户的其他PII(个人身份信息)
大约 300,000-350,000用户可能已受到影响。但是，研究人员无法确定欺诈者如何能够针对Spotify的用户数据。他们指出，黑客可能使用从其他平台（例如应用程序或网站）窃取的凭据来访问Spotify帐户。
此外，研究人员确定了几个服务器IP地址是数据泄漏的一部分。但是，这些地址主要属于托管数据库的网络运营商的代理服务器。
研究人员声称，数据泄露并非源于Spotify，因为该数据库属于合法或非法获得Spotify登录凭据并将其存储以进行凭据填充操作的第三方。
凭据填充是一种使黑客使用弱密码发起攻击目标站点的技术。VpnMentor于2020年7月9日通知Spotify。该公司迅速做出回应，并确认个人或一群诈骗人员确实在使用该数据库来利用Spotify及其用户。
根据VpnMentor的博客文章，Spotify还为所有受影响的用户启动了“滚动重置密码”，以使该数据库上的信息变得无用。
如果该数据库是由威胁参与者发现的，则他们可能会轻易出售Spotify高级帐户访问权限，或将这些数据用于发起后续的网络钓鱼或身份盗用攻击。
因此，用户必须意识到为所有帐户保留强大唯一的密码的重要性。在可能的情况下，必须启用MFA（多因素身份验证）。