数以十万计的Spotify订户在凭据填充攻击期间经历了服务中断，该攻击试图验证窃取的Spotify账户登录信息。凭据填充攻击利用了在多个在线服务中回收的带密码的用户帐户。攻击者使用泄露的登录凭证通过自动化脚本攻击其他网站。Spotify表示，在其2.99亿月度活跃用户中，有35万个账户受到了攻击。

凭证填充攻击源自一个暴露的被盗的第三方数据库

Spotify的用户抱怨账户被盗、密码更改、新的播放列表，以及在发现凭证填充攻击之前，来自其他国家的陌生人被添加到他们的账户中。

vpnMentor发现了不安全的Elasticsearch数据库，其中包含超过3.8亿条记录，包括登录凭据和其他用户帐户信息。

vpnMentor研究人员在网络映射项目中发现了这个“宝藏”，该项目涉及端口扫描以检测各种IP漏洞。这个数据库是不安全的，也是未加密的，因此任何能够访问Internet并知道在哪里查找的人都可以轻松访问和使用该数据库。

KnowBe4的安全意识倡导者Javvad Malik指出，“犯罪分子不需要复杂的技术入侵能力就能入侵账户。”

vpnMentor的研究人员联系了这家音乐流媒体服务公司，几乎立即得到了回应。Spotify启动了密码重置过程，以保护其用户帐户免受进一步的凭据填充攻击。据vpnMentor的研究人员说，据此，“数据库中被盗的信息将被作废，变得毫无用处。”

泄露的数据库包含超过72 GB的数据，包括用户名、密码、电子邮件地址和居住国。这些数据还带有一个标志，指示被盗的凭证是否可以登录到Spotify。

Spotify承认了凭证填充攻击

Spotify承认了这次攻击，并指出“黑客可能使用从另一个平台、应用程序或网站窃取的登录凭据来访问Spotify的账户。”这家音乐流媒体订阅服务公司澄清说，漏洞并非源自其服务器。

vpnMentor指出，攻击者可能将数据用于凭据填充以外的其他恶意目的。攻击者可以使用泄露的个人身份信息（PII）在社交媒体上识别Spotify用户，以通过在线钓鱼对他们进行欺诈。他们可以使用所窃取的信息来创建个人档案以进行身份盗用。

根据PerimeterX安全宣传员Ameet Naik的说法，黑客操作凭据填充攻击，以验证自动帐户接管攻击（ATO）的凭据。此类攻击比去年增加了72％。

凭据填充攻击的成功取决于用户的密码卫生状况不佳，例如弱密码和跨多个平台重用登录凭据。

用户可以通过使用强密码、避免密码重用和启用多因素身份验证来降低凭据填充攻击的成功几率。

对于大多数用户而言，由于在众多站点上记住多个强密码具有挑战性，因此他们可以利用密码管理器来集中其登录凭据。密码管理器使用一个主密码，从而使用户不必记住每个密码。

Bitglass的首席技术官Anurag Kahol表示，Spotify凭据填充攻击是由于普通用户的密码卫生不佳造成的。

“令人震惊的是，53%的消费者承认在多个网站重复使用相同的密码，即使他们知道相关的风险，”Kahol说。“这种糟糕的密码状态让网络罪犯有机会通过多种服务访问同一个人的不同账户，从而使他们的数字足迹变得极其脆弱。”

他建议所有的消费者“在不同的账户上多样化他们的登录凭证，以减少他们的账户被劫持的机会。”

他补充说，公司应该跟踪并应对可疑的登录。此外，它们还应该实现多因素身份验证机制，以阻止非法登录的成功。

Bitglass的首席技术官同样表示，企业应该保持“对客户数据的可见性和控制权”，以防止数据泄露。

“要做到这一点，组织必须实施安全解决方案，纠正错误配置，实施实时访问控制，加密敏感数据，管理与外部各方的数据共享，并防止敏感信息泄漏，”Kahol总结道。

CloudSphere的技术推广员Keith Neilson对Spotify凭证填充攻击有类似的看法。

Nelson说:“为了最小化攻击面，防止黑客滥用个人数据，企业应该投资一个完全可见的云环境平台，并实时监控安全态势，以最大程度地减少云攻击面，确保数据不会落到错误的人手中。”“凭借能够实时纠正安全漏洞的能力，企业可以进行安全运营而不必担心将客户数据置于危险之中。”（本文出自SCA安全通信联盟，转载请注明出处。）