Un grupo de hackers expuso involuntariamente los datos de acceso de 350.000 usuarios de la plataforma de música en ‘streaming’ Spotify, incluidas sus contraseñas, debido a que tras robarlas las almacenaron en un servidor de forma insegura. El hecho fue descubierto por los investigadores de ciberseguridad de vpnMentor, que advirtieron la base de datos desprotegida mientras realizaban una búsqueda de datos inseguros en Internet.
Para acceder a las cuentas expuestas, los cibercriminales no utilizaron ninguna brecha de datos de Spotify, sino que obtuvieron los datos a través de la técnica de relleno de credenciales, o ‘credential stuffing’. Para ello, solamente utilizaron los nombres de correo y las claves de otras cuentas de servicios de Internet expuestas y fueron probaron hasta hacerse con aquellas que coincidían con las de Spotify porque los usuarios habían repetido las contraseñas.
Una vez se hicieron con una base de datos de 350.000 cuentas de Spotify, los atacantes la almacenaron en una base de datos insegura, de forma que cualquier internauta podía acceder a estos datos de acceso. Entre la información se descubrieron también direcciones IP que parecen corresponder con las utilizadas por los dispositivos de los propios atacantes.
Hasta el momento, no se conoce para qué se utilizaron las credenciales de Spotify robadas, pero los investigadores han recomendado a los usuarios que no repitan contraseñas en diferentes servicios o que las cambien en caso de duda, ya que otros criminales más peligrosos podrían haberlos conseguido también.
Por su parte, vpnMentor, recomendó que los usuarios afectados también accedan a sus cuentas en otros servicios online e inmediatamente cambien las claves de inicio de sesión, porque los datos siguen expuestos. También, ha aconsejado que a la hora de crear una contraseña se utilicen generadores de claves aleatorias y recurran a sistemas evaluadores de contraseñas para conocer el nivel de dificultad que poseen antes de usarlas definitivamente.