3.8亿个Spotify用户数据泄露 72G未加密数据库

目录导航

Spotify数据泄露摘要

公司名称	Spotify
公司总部	瑞典斯德哥尔摩
行业	音乐流媒体
数据大小（G为单位）和记录数	72 GB；3.8亿条记录
受影响的用户	300,000 – 350,000
日期范围/时间轴	未知
地理范围	未知
公开的数据类型	电子邮件地址; 登录凭据（用户名和密码）
潜在影响	身份盗窃和诈骗；网上诱骗和恶意软件；帐户滥用,凭证填充
资料储存格式	打开和未加密的Elasticsearch服务器；暴露的MySQL服务器

Spotify可能是全球最受欢迎的音乐和音频媒体流服务，到2020年，每月活跃用户将超过2.99亿。

该公司于2006年在瑞典斯德哥尔摩成立，并在两年后推出了首个版本的Spotify应用，该流中有6000万首歌曲可供流媒体播放，并且自那以后发展迅速。

Spotify于2018年4月上市，跳过了传统的IPO，直接在纽约证券交易所上市。该公司的股价最近飙升，自2020年3月以来价值翻了一番，这很可能是由于在锁定状态下留在家里的听众的参与度提高了(疫情)。

7月3日，由Ran Locar和Noam Rotem领导的VpnMentor的研究小组发现了一个托管在不受保护的Elasticsearch服务器上的数据库，并怀疑该数据库是凭据填充操作的一部分，其来源尚未确定。

72GB的数据库包含超过3.8亿个Spotify用户的记录，包括

敏感数据，如用户名/密码，电子邮件ID，居住国家和Spotify用户的其他PII(个人身份信息)

大约 300,000-350,000用户可能已受到影响。但是，研究人员无法确定欺诈者如何能够针对Spotify的用户数据。他们指出，黑客可能使用从其他平台（例如应用程序或网站）窃取的凭据来访问Spotify帐户。

此外，研究人员确定了几个服务器IP地址是数据泄漏的一部分。但是，这些地址主要属于托管数据库的网络运营商的代理服务器。

研究人员声称，数据泄露并非源于Spotify，因为该数据库属于合法或非法获得Spotify登录凭据并将其存储以进行凭据填充操作的第三方。

凭据填充是一种使黑客使用弱密码发起攻击目标站点的技术。VpnMentor于2020年7月9日通知Spotify。该公司迅速做出回应，并确认个人或一群诈骗人员确实在使用该数据库来利用Spotify及其用户。

根据VpnMentor的博客文章，Spotify还为所有受影响的用户启动了“滚动重置密码”，以使该数据库上的信息变得无用。

如果该数据库是由威胁参与者发现的，则他们可能会轻易出售Spotify高级帐户访问权限，或将这些数据用于发起后续的网络钓鱼或身份盗用攻击。

因此，用户必须意识到为所有帐户保留强大唯一的密码的重要性。在可能的情况下，必须启用MFA（多因素身份验证）。