Spotify atacado. Actualiza Android y cambia tu contraseña (aunque la empresa diga lo contrario)

El servicio de música por streaming Spotify admitió hoy a través de un comunicado la intrusión en su «sistema interno» por parte de desconocidos pero al parecer sólo se afectó a un usuario del sistema operativo Android.

De acuerdo a la empresa, el ataque permitió tener acceso a datos internos e información privada pero no incluyó la contraseña, datos bancarios o tarjetas de crédito, y el usuario ya fue contactado por la compañía.

Spotify afirmó que no sería necesario cambiar la contraseña, y se espera para los próximos días una nueva actualización de la plataforma en Android, la cual la empresa sugiera instalar inmediatamente. Durante la actualización se deberán ingresar los datos de acceso y las listas de canciones fuera de línea tendrán que ser descargadas nuevamente.

Para los usuarios de Windows Phone e iOS de Apple no se anunció ningún tipo de recomendación.

Resulta extraño que la empresa primero diga que se accedió a sus datos internos pero por otro lado afirme que sólo un usuario fue afectado y recomiende al resto no cambiar la contraseña. Evidentemente, si fuera así ¿por qué lanzar un comunicado tan alarmante?

Fuente | Segu-info

¿Cookies imborrables? Existen y se usan en sitios importantes desde hace tiempo

La única solución para borrar este tipo de cookies sería borrar las cookies HTTP normales, la caché y los datos almacenados de Flash y HTML5

Si ya de por sí las cookies son bastante molestas para cualquiera que se preocupe por su privacidad, el descubrimiento que acaban de hacer unos investigadores del Social Sciences Research Network les va a resultar una pesadilla: cookies imborrables.

Este tipo de cookies las genera el servicio de analítica KISSmetrics, ampliamente usado en sitios como Hulu o Spotify. Estas cookies identifican al usuario entre varios sitios web, y son muy difíciles de borrar.

> ¿Como funcionan las Cookies imborrables?

Os preguntaréis: ¿cómo se puede crear una cookie que no se pueda borrar, si las cookies las gestiona el navegador? En realidad, las cookies sí se pueden borrar. La cuestión es que reaparecen.

El código de seguimiento está preparado de tal forma que almacena las cookies no sólo en el navegador, como es normal, sino que también usa el almacenamiento de Flash, el de HTML5 y la caché a través de las ETags.

Como es muy difícil borrar todas las cookies a la vez, cuando visitamos el sitio de nuevo la cookie se regenera y vuelve a aparecer en todos los sitios que mencionaba arriba. Así, la cookie es prácticamente permanente y sobrevive a borrados de cookie, de caché e incluso a modos incógnito.

La única solución para borrar este tipo de cookies sería borrar las cookies HTTP normales, la caché y los datos almacenados de Flash y HTML5. Desde luego, una tarea bastante compleja y más aún para un usuario normal.

> ¿Qué consecuencias tiene esta cookie para nuestra privacidad?

Este tipo de métodos permiten a los sitios web seguir a un usuario no sólo en su página, sino también en la de otras webs que usen el mismo servicio de analíticas. Además, el código de seguimiento es el mismo aunque el usuario utilice distintos navegadores (eso sí, en el mismo ordenador).

Esto no es malo per se: dar o no la información de tu navegación a servicios es cosa tuya. El verdadero problema es que este tipo de trampas quitan al usuario la opción de elegir si quiere o no ser seguido. Y esto sí que es, sin ninguna duda, un ataque a nuestra privacidad: que nos quiten la opción de elegir.

Además, este tipo de actitudes te hacen desconfiar de las iniciativas del estilo de “Do Not Track”: si estos servicios rebuscan tanto para que no escapes a su seguimiento, ¿de verdad van a hacer caso a una petición del navegador que diga “No me sigas, porfa”? Creo que no.

De hecho, los investigadores hicieron una prueba con Firefox y Do Not Track activado, y a pesar de ello el seguimiento persistía. Aun así, esto se puede atribuir más a que este estándar todavía no está implementado del todo que a que lo ignoren deliberadamente.

De momento, tanto Hulu como Spotify han retirado KISSmetrics de su web hasta que no se aclare lo que hace este servicio realmente. Por lo que parece, estos dos sitios no serían los únicos que emplean este tipo de métodos, aunque no sabemos cuáles son.

Como digo, este tipo de tretas me parecen un ataque muy grave a nuestra privacidad. No ya porque nos sigan o no (al fin y al cabo, las estadísticas no afectan especialmente a nuestra privacidad), eso es una decisión totalmente personal. Lo que es realmente peligroso es esta actitud de “me da igual el usuario y voy a hacer lo que yo quiero, aunque tenga que pasar por encima de sus preferencias”.

Por suerte, este tipo de conductas son denunciables y, al igual que pasó en 2009 cuando se descubrió el amplio uso de las cookies Flash, seguramente se tomen pronto medidas para evitar este tipo de seguimiento y permitir al usuario no ser seguido.

Fuente

Spotify pide perdón por la entrada de virus en su servicio

Spotify ha retirado un anuncio de su servicio de música online que contenía y distribuía un virus. El malware afectaba a los usuarios de Windows. Desde la compañía han pedido disculpas y han asegurado que el problema solamente ha afectado a usuarios que no tienen instalado un antivirus.

Spotify, el popular servicio de música en streaming, se vio obligado hoy a pedir disculpas a sus usuarios, después de que un anuncio que contenía virus haya infectado a algunos de sus clientes. La publicidad, que afectaba a los usuarios de Windows de Spotify, no necesitaba ser pulsada para infectar la máquina del usuario.

La compañía advirtió que, nada más detectar el virus, procedió a retirar el anuncio e informó sobre el problema. «Rápidamente hemos quitado todos los anuncios con el fin de proteger a los usuarios y garantizar que Spotify era seguro de usar», señaló la empresa en un comunicado oficial.

En la web de la BBC explican que los responsables de Spotify han identificado que con el anuncio se instalaba en el ordenador de los usuarios un ‘exploit’ para ejecutar una falsa aplicación de ‘recuperación de windows’. Los informáticos de Spotify han asegurado que lo peor del virus es que no hacía falta que los usuarios hicieran click en el anuncio para que el virus se extendiese, sino que simplemente con la reproducción del anuncio era suficiente, informó Europa Press.

Según la compañía, el fallo de seguridad solo ha afectado a los usuarios con cuentas gratuitas. «Los usuarios que cuentan con un software antivirus están protegidos. Le pedimos disculpas a los afectados», añadieron en su nota. Spotify también insistió en que seguirán investigando para mejorar la seguridad del servicio. «Vamos a seguir trabajando duro para asegurar que esto no vuelva a suceder y que los usuarios disfruten de un Spotify seguro y en confianza».

Aunque muchos usuarios de Spotify no se percataron del problema, la mayoría de las quejas (un 59%) procedieron de Suecia, mientras otros 40% tuvo su origen en Reino Unido. El resto se repartió entre usuarios de otros países, según la BBC.

Spotify, que trabaja en su desembarco en EE UU, tiene su sede en Suecia y actualmente cuenta con unos siete millones de usuarios, seis millones de los cuales utiliza la modalidad gratuita del servicio.

Fuente