Theo báo cáo từ ZDNet, các nhà nghiên cứu bảo mật đã tìm thấy một cơ sở dữ liệu 72GB không được mã hóa trực tuyến, chứa hơn 380 triệu mật khẩu của các tài khoản trực tuyến. Hai chuyên gia nghiên cứu Noam Rotem và Ran Locar tình cờ tìm thấy cơ sở dữ liệu trong một dự án lập bản đồ web. Sau khi điều tra tình hình, họ đã phát hiện ra rằng những dữ liệu vi phạm này có chứa thông tin đăng nhập và dữ liệu người dùng khác đang được xác thực dựa trên dịch vụ Spotify.

Nguồn gốc của các dữ liệu chứa mật khẩu vẫn chưa xác định được nhưng có thể cơ sở dữ liệu được tổng hợp từ các nguồn khác nhau, bao gồm cả các kho dữ liệu bị đánh cắp. Dữ liệu bị rò rỉ có thể được sử dụng để chiếm đoạt tài khoản Spotify sử dụng cùng mật khẩu với các dịch vụ khác, cuộc tấn công được gọi là Credential Stuffing.

Rotem và Locar cho biết: “Những thông tin đăng nhập này rất có thể đã bị lấy bất hợp pháp hoặc có khả năng bị rò rỉ từ các nguồn khác đã được sử dụng lại cho các cuộc tấn công Credential Stuffing xác thực chống lại Spotify”.

Sự cố đã được phát hiện vào giữa năm nay và báo cáo cho Spotify ngay lập tức. Sau đó, dịch vụ phát trực tuyến nhạc đã bắt đầu đặt lại mật khẩu cho hơn 350.000 tài khoản để giảm thiểu nguy cơ tài khoản bị xâm nhập và bị tấn công. Có vẻ như vấn đề đã được giải quyết mà không có gì phức tạp, nhưng những sự cố rò rỉ như vậy nhắc nhở chúng ta một lần nữa không nên sử dụng cùng một mật khẩu với các dịch vụ khác nhau trên web.