Spotify está enviando mensajes a miles de cuentas de usuarios para que reinicien sus contraseñas, ya que se han descubierto miles de passwords en una base de datos abierta ajena a la compañía.
Aún no se sabe de dónde ha salido esa base de datos, ya que no pertenece a Spotify, pero sí se sabe que su contenido cuenta con entre 300.000 y 350.000 de contraseñas y nombres de usuario de la plataforma de música.
El descubrimiento llega de investigadores de vpnMentor, quienes hicieron públicos sus hallazgos: una base de datos abierta de Elasticsearch durante el proyecto de mapeo web de la empresa.
La base de datos de 72 GB contenía más de 380 millones de registros, incluidas las credenciales de inicio de sesión y otros datos de usuario que se validan con el servicio Spotify.
Puede haber sido de algún servicio tercero que pedía contraseña de spotify, o del resultado de alguna página falsa que simulaba ser Spotify para que los usuarios informaran sus contraseñas. Probablemente se obtuvieron ilegalmente o se filtraron potencialmente de otras fuentes.
No todos los usuarios de Spotify se han visto afectados, pero los que sí lo han sido tienen divulgada la dirección de correo electrónico, la información de identificación personal (PII), el país de residencia y las credenciales de inicio de sesión, tanto nombres de usuario como contraseñas.
La información no estaba encriptada, por lo que cualquier persona podría usarla para entrar en la cuenta de otros. Es posible incluso que forme parte de alguna acción de «venta de cuentas de spotify a bajo precio», algo común en este tipo de servicios.
300.000 no parece mucho si lo comparamos con los 299 millones de usuarios activos mensuales de Spotify, pero aún así es una cantidad importante. Hay que tener en cuenta también que la combinación de login/contraseña filtrada seguramente se usaba en otras aplicaciones, por lo que si recibís el email de Spotify, cambiad esa contraseña de todos los servicios que la usen. Aquí tenéis un consejo para crear contraseñas seguras y diferentes.