Spotify yaklaşık 350.000 parolayı sıfırladı

Spotify için çalışan araştırmacılar, müzik akışı hizmetinde oturum açma kimlik bilgilerini içeren 380 milyon kayıt içeren çevrimiçi bir veritabanı bulduktan sonra 350.000 hesabın şifrelerini sıfırladı.

Noam Rotem ve Ran Locar liderliğindeki araştırma ekibi, olası bir kimlik bilgisi ele geçirilme operasyonu keşfettiğini iddia ediyor. Kimlik bilgilerini ele geçirme, kullanıcı adı ve şifrelerin bir sızıntıdan elde edildiği ve daha sonra aynı ayrıntıları yeniden kullanan diğer hesaplara erişim sağlamak için kullanıldığı durumdur.

Bir web haritalama projesi sırasında, araştırma ekibi 380 milyondan fazla kayıt içeren ve toplamı 32 GB olan bir Elasticsearch veritabanıyla karşılaştı. Spotify’a göre doğrulanan oturum açma kimlik bilgileri vardı.

Bilgisayar korsanlığı işleminin ayrıntıları bilinmiyor. Veritabanının kökenleri ve Spotify’ın nasıl hedef alındığı bir sır olarak kaldı. Bununla birlikte, sızıntı Spotify’ın kendisinden ziyade verileri şifrelemeyen bir üçüncü taraftan geliyor.

Spotify Kullanıcı Şifrelerini Sıfırladı

vpnMentor sızıntıyı 3 Temmuz 2020’de keşfetti ve ardından 9 Temmuz 2020’de daha ayrıntılı olarak inceledi. Bu gecikmenin nedeni, araştırmacıların ihlali ve potansiyel etkisini anlamaları ve herkes tarafından anlaşılabilecek bir rapor üretmeleri gerektiğidir.

Sızıntı incelendikten sonra araştırma ekibi aynı gün Spotify ile iletişime geçti. Spotify yanıt verdi, ardından 10 Temmuz ile 21 Temmuz 2020 arasında çalışma yapıldı. Bu, 350.000’e kadar kullanıcının şifrelerinin sıfırlanmasını içeriyordu. Spotify’ın 320 milyon aylık aktif kullanıcısıyla karşılaştırıldığında okyanusta bir damla olsa da, yine de önemli miktarda insan.

Veritabanında yer alan bilgi türleri arasında e-posta adresleri, şifreler ve ikamet edilen ülkeler vardı. Sunucu IP adresleri de sızıntıya dahil, ancak vpnMentor bunların büyük olasılıkla bireysel kullanıcılar yerine veritabanının barındırıldığı proxy sunucularından geldiğini belirtti.

Bu hesapların risk altında olmasının nedeni, birden çok hizmette basit veya tekrarlayan şifreler kullanmalarıdır. Örneğin, veritabanından alınan bir kayıt, yılın en çok kullanılan şifreleri listesinde yer almasa da birinin parolasının “spotify” olduğunu gösterir. Bunun neden güvensiz olabileceğini anlamak için dahi olmaya gerek yok.

Her web sitesi için her zaman benzersiz bir şifre kullanmalısınız. Bir parola yöneticisi bunu korumanıza yardımcı olabilir, böylece belleğinize güvenmenize gerek kalmaz. En azından, basit sözcükler içermeyen, büyük ve küçük harf olarak değişen, özel karakterler içeren ve kendinizle ilgili bilgiler içermeyen uzun parolalarınız olduğundan emin olun.