Dei cybercriminali hanno sottratto le informazioni contenute in un database, ma le hanno salvate su un archivio non protetto, esponendole a tutti
Un gruppo di cybercriminali è riuscito ad accedere ai dati di 350mila account di Spotify senza bisogno di violarne i sistemi, archiviando poi il bottino su un database cloud non protetto che è stato individuato per caso e rimosso. La storia è un susseguirsi di eventi che hanno come comune denominatore la scarsa attenzione.
Il tutto parte da alcuni titolari degli account di Spotify. Come molti utenti di internet anche loro hanno troppe password da tenere a mente ma, anziché affidarsi a un password manager o diversificarle, alcuni hanno preferito utilizzare sempre la stessa per tutti gli account. Questo errore di sicurezza ha permesso agli hacker di utilizzare un deposito di credenziali d’accesso rubate e, armati di pazienza, provare tutte le combinazioni tra nome utente e password a disposizione fino a ottenere l’accesso.
La semplicità di questa tecnica non richiede una grande abilità informatica. I cybercriminali lo hanno dimostrato commettendo a loro volta un errore. Hanno archiviato i record dei dati sottratti agli account violati su un database non protetto. Ciò vuol dire che chiunque con accesso a un browser avrebbe potuto vedere e accedere ai dati sottratti, senza bisogno di utilizzare delle credenziali d’accesso o senza decriptare il database. Ed è esattamente ciò che è accaduto.
I ricercatori di sicurezza Ran Locar e Noam Rotem del team del sito vpnMentor stavano eseguendo una scansione di internet alla ricerca di dati non protetti, quando si sono imbattuti in un database contenente oltre 380 milioni di record, comprese le credenziali di accesso e altri dati utente sottratti da Spotify.
Spotify, informata del leak, ha immediatamente interrotto l’accesso attraverso i dati trafugati e informato gli utenti coinvolti invitandoli a cambiare password. C’è un ultimo dettaglio: i ricercatori di sicurezza hanno infatti trovato i record degli indirizzi Ip utilizzati dai criminali per camuffare la propria posizione durante le loro operazioni. Peccato che questi dettagli insieme ai record dei dati esposti potrebbero facilitarne l’individuazione.
Leggi anche
Potrebbe interessarti anche