Datenleck: Spotify-Zugangsdaten in ungeschützter Datenbank entdeckt

Kriminelle haben eine Datenbank mit über 300.000 Spotify-Zugangsdaten ungeschützt im Internet betrieben.

Artikel veröffentlicht am ,
Das Logo von Spotify
Das Logo von Spotify (Bild: M. H./Pixabay)

In einer ungeschützten Elasticsearch-Datenbank hat ein Forscherteam die Zugangsdaten von über 300.000 Spotify-Nutzenden gefunden. Die Entdecker, Noam Rotem und Ran Locar von der VPN-Bewertungsseite VPNmentor.com, vermuten, dass die Zugangsdaten mit Credential-Stuffing-Angriffen ermittelt wurden. Spotify hat die Betroffenen auf den Vorfall hingewiesen und zu einer Änderung ihrer Zugangsdaten aufgefordert.

Stellenmarkt
  1. Fullstack-PHP-Entwickler (m/w/d)
    SHD System-Haus-Dresden GmbH, Dresden
  2. Client-Administratoren (m/w/d)
    Flughafen Köln/Bonn GmbH, Köln
Detailsuche

Die Datenbank stamme nicht von dem Musikstreamingdienst Spotify selbst, sondern vermutlich von Kriminellen, welche die rund 72 GByte umfassende Datenbank mit 380 Millionen Einträgen ungeschützt im Internet gelassen hätten, erklärt VPNmentor. In der Datenbank entdeckte das Forscherteam die über 300.000 verifizierten Spotify-Zugangsdaten sowie die Länder, in denen diese verwendet wurden. Spotify wird von rund 300 Millionen Personen aktiv genutzt.

VPNmentor vermutet, dass die Zugangsdaten über sogenannte Credential-Stuffing-Angriffe erlangt wurden. Hierbei werden Zugangsdaten, die beispielsweise über ein Datenleck oder einen Hack erlangt wurden, bei verschiedenen Anbietern ausprobiert. Da Internetnutzende dazu neigen, die gleichen Passwörter, meist mit der gleichen E-Mail-Adresse, bei verschiedenen Diensten zu nutzen, ist Credential Stuffing nach wie vor eine sehr erfolgreiche Angriffsmethode.

Social-Engineering-Angriffe denkbar

Kriminelle könnten mit den Zugangsdaten beispielsweise die bezahlten Spotify-Konten mitnutzen. Zudem könnten die Daten für Social Engineering verwendet werden. Betroffenen könnten beispielsweise gefälschte Rechnungen von Spotify gesendet werden oder sie könnten dazu gebracht werden, Schadsoftware zu installieren. Die ungeschützte Datenbank hätte zudem von Dritten entdeckt und missbraucht werden können, betont VPNmentor. Die Zugangsdaten könnten zudem bei anderen Diensten ausprobiert werden.

Golem Akademie
  1. Kotlin für Java-Entwickler: virtueller Zwei-Tage-Workshop
    03.–04. Februar 2022, Virtuell
  2. Einführung in die Programmierung mit Rust: virtueller Fünf-Halbtage-Workshop
    21.–25. März 2022, Virtuell
Weitere IT-Trainings

Entdeckt wurde die Datenbank bereits am 3. Juli 2020, an Spotify gemeldet wurde sie am 9. Juli. VPNmentor hat den Fund jedoch erst jetzt veröffentlicht. Betroffene, die eine Warnung von Spotify erhalten haben, sollten ihre Zugangsdaten umgehend ändern. Verwenden sie das gleiche Passwort auch bei anderen Diensten, sollte auch dort ein neues Passwort verwendet werden. Unabhängig davon ist es wichtig, für jeden Dienst ein individuelles, sicheres Passwort zu verwenden.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


gamer998 25. Nov 2020

Bezahldaten werden nicht mehr gespeichert. Das läuft über tokens. Normalerweise wird nix...

RainerG 25. Nov 2020

Bei mir hat Spotify vor einigen Tagen eine Anmeldung aus Russland per E-Mail gemeldet...

Schnookerippsche 24. Nov 2020

Müssen talentlose wie Capital Bra in Zukunft auf Fake-Klickzahlen verzichten? https://www...

AlexanderSchork 24. Nov 2020

Das ist ein großes Problem bei Spotify und co. Und fast alle beteiligten verdienen daran...

mackes 24. Nov 2020

Wirklich kwt



Aktuell auf der Startseite von Golem.de
Lego Star Wars UCS AT-AT aufgebaut
"Das ist kein Mond, das ist ein Lego-Modell"

Ganz wie der Imperator es wünscht: Der Lego UCS AT-AT ist riesig und imposant - und eines der besten Star-Wars-Modelle aus Klemmbausteinen.
Ein Praxistest von Oliver Nickel

Lego Star Wars UCS AT-AT aufgebaut: Das ist kein Mond, das ist ein Lego-Modell
Artikel
  1. Kryptowährung im Fall: Bitcoin legt rasante Talfahrt hin
    Kryptowährung im Fall
    Bitcoin legt rasante Talfahrt hin

    Am Samstag setzte sich der Absturz des Bitcoin fort. Ein Bitcoin ist nur noch 34.200 US-Dollar wert. Auch andere Kryptowährungen machen Verluste.

  2. eStream: Airstream-Wohnwagen mit eigenem Elektroantrieb
    eStream
    Airstream-Wohnwagen mit eigenem Elektroantrieb

    Der Wohnwagen Airstream eStream besitzt einen eigenen Elektroantrieb nebst Akku. Das entlastet das Zugfahrzeug und eröffnet weitere Möglichkeiten.

  3. Andromeda: Dieses Microsoft-Smartphone-Betriebssystem erschien nie
    Andromeda
    Dieses Microsoft-Smartphone-Betriebssystem erschien nie

    Erstmals ist ein Blick auf Andromeda möglich - das Smartphone-Betriebssystem, das Microsoft bereits vor einigen Jahren eingestellt hat.

Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Daily Deals • Corsair Vengeance RGB RT 16-GB-Kit DDR4-4000 120,95€ • Alternate (u.a. AKRacing Master Pro Deluxe 449,98€) • Seagate FireCuda 530 1 TB (PS5) 189,90€ • RTX 3070 989€ • The A500 Mini 189,90€ • Intel Core i9 3.7 459,50€ • RX 6700 12GB 869€ • MindStar (u.a. 1TB SSD 69€) [Werbung]
    •  /