350 хил. потребители на Spotify са жертва на credential stuffing

Изследователи от vpnMentor са открили свободно достъпна Elasticsearch инстанция, съдържаща близо 380 млн. записа с потребителски имена и пароли. Около 350 хил. от тези креденшъли са използвани в credential stuffing атака срещу потребители на музикалната стрийминг платформа Spotify.

Spotify са били уведомени за откритието през юли 2020 г. След като е потвърдила легитимността на данните, компанията е ресетнала незабавно паролите на всички засегнати потребители.

Инцидентът не произхожда от Spotify.  Данните най-вероятно са получени незаконно или потенциално са изтекли от други източници, а впоследствие са използвани в автоматизирано превземане на акутни (ATO) на Spotify.

АТО чрез credential stuffing е било възможно, защото Spotifty са нямали имплементирана bot management защита и MFA механизъм за автентикация на потребителите.

Препоръки

Потребителите могат да се защитят от подобни атаки чрез използването на силни, уникални пароли за всяка отделна услуга и прилагането на многофакторно удостоверяване, когато това е възможно.