This post is also available in: Português
Ainda não se sabe ao certo quantos usuários foram atingidos, mas milhares deles receberam instruções para criarem novas senhas depois que seus dados pessoais foram expostos a parceiros de negócios do Spotify, um dos serviços de streaming de músicas mais famosos da atualidade.
Em sua defesa, o Spotify disse que conteve e corrigiu a violação de dados após descobrir uma vulnerabilidade de segurança em seu sistema – que revelou informações de registro de contas de usuários a terceiros. Entre os dados expostos, estão endereços de e-mail, nomes completos, senhas, sexo e data de nascimento.
Em uma notificação de violação apresentada ao Procurador Geral da Califórnia em 9 de dezembro, o Spotify disse que encontrou a falha em 12 de novembro. Porém, avalia que essa vulnerabilidade existe desde 9 de abril. Assim, são cerca de 7 meses em que diversas informações sigilosas de seus usuários estiveram disponíveis a terceiros.
Abrangência pequena
Em um comunicado, os responsáveis pela empresa disseram que os dados eram visíveis somente para determinados parceiros de negócios do Spotify, ressaltando que o incidente não tornou essas informações acessíveis ao público – ou seja, um usuário convencional não poderia acessar dados pessoais de outro. Ainda assim, as informações estavam visíveis a quem não deveria estar.
Nesse contexto, o Spotify disse que realizou uma investigação interna e entrou em contato com todos os parceiros de negócios que podem ter tido acesso às informações das contas. A ideia era garantir que quaisquer dados pessoais que possam ter sido divulgados inadvertidamente a eles tenham sido excluídos. Essas afirmações também fizeram parte de um alerta de violação enviado aos indivíduos afetados.
“Não temos motivos para acreditar que qualquer uso não autorizado de suas informações ocorreu ou ocorrerá”, acrescentou o Spotify.
Por via das dúvidas, o serviço de streaming pediu aos usuários para mudar as senhas de todas as outras contas online para as quais é usado o mesmo endereço de e-mail e senha. Solicitou, ainda, que avisassem sobre qualquer atividade suspeita em suas contas.
Não é a primeira vez
O problema ocorre menos de um mês depois de o Spotify executar outra redefinição de senha. Naquela vez, foi uma precaução por conta de ataques de preenchimento de credenciais.
A empresa agiu depois que invasores tentaram usar técnicas de força bruta para entrar em contas do Spotify com nomes de usuário e senha descobertos por pesquisadores de segurança em um banco de dados não seguro, contendo cerca de 300 mil senhas roubadas.
Esse número é um percentual relativamente baixo frente aos mais de 320 milhões de usuários que atualmente tem o Spotify. Contudo, quando se trata de falhas de segurança, quantidades como essas podem triplicar em poucas horas. Por isso, vulnerabilidades do tipo precisam de atenção imediata. Afinal, tudo que os cibercriminosos precisam é que seus esforços sejam subestimados – o cenário ideal para invadirem sem serem incomodados.
This post is also available in: Português
