Spotify Account gehackt, wie kann das sein?

[MetalForLive]

Tag zusammen,

am Montag wurde anscheinend mein Spotify Account gehackt.
Ich würde jetzt gerne verstehen wie das möglich ist, denn ich habe mich weder über irgend einen suspicious Email Link auf meinem Account angemeldet noch habe ich mich generell in der letzten Zeit irgendwo neu bei Spotify angemeldet.

Der Vorgang war wie folgt:
Am Montag gegen 18:03 Uhr bekam ich eine Mail von Spotify, dass ich mich auf einem neuen Gerät (Region USA) angemeldet habe - Die Mail war wirklich von Spotify, ich hab den Mail Header geprüft.
Um 18:07 habe ich mein Passwort geändert.

Ein paar Minuten später fiel mir ein, dass wenn sich jemand angemeldet hat, das Gerät erst mal authentifiziert ist und es somit nichts bringt nur das Passwort zurück zu setzen. Also gegen 18:19 habe ich über die Kontoseite von Spotify alle Geräte abgemeldet.

Um 19:01 bekam ich dann noch eine Mail von Spotify, dass verdächtige Aktivität auf meinem Konto festgestellt wurde und ich mein Passwort erneut zurück setzen soll.

Da ich zu der Zeit auf geschäftlich unterwegs war und wir gerade Essen waren, hab ich das erst gegen 19:50 gesehen/gemacht, seit dem ist Ruhe.

Meine Passwörter sind in der Regel von einem Passwort Manager generiert und mindestens 20 Zeichen lang.
Die Passwörter verwende ich auch immer nur für einen Account.
In diesem Fall, war das alte Passwort folgendes:

nGpX6Epe6aUwSbPx(s!!!

Ich kann mir nicht vorstellen, das dieses Passwort gebruteforced wurde.

was ich mich jetzt jedoch Frage:

• Hat jemand schon mal etwas ähnliches erlebt?
• Hat ggf. Spotify selbst eine Sicherheitslücke?
• Hat jemand eine Idee, wie das möglich war?

Leider bietet Spotify stand heute 2FA nur für Künstler, nicht aber für Privat Accounts an.

 

[TorenAltair]

Ich kann mir nicht vorstellen, das dieses Passwort gebruteforced wurde.

Keylogger auf irgendeinem Gerät, das den Account nutzt, wäre meine erste Idee und kein Hack.

 

[Ayo34]

Hast du das Passwort schon mal woanders benutzt?
Wie kann man bei Spotify sein Passwort zurücksetzen? Ist deine Emailadresse eventuell gehacked?
Hast du das Passwort für Spotify ausversehen irgendwo in einer Spam-Webseite eingetragen?
Was für einen Passwort Manager verwendest du?

Eine Anfrage an Spotify kann auch nicht schaden, aber keine Ahnung was man da für eine Antwort bekommt.

 

[MetalForLive]

Keylogger auf irgendeinem Gerät, das den Account nutzt, wäre meine erste Idee und kein Hack.

Ich lass mal Malewarbytes über meinen Rechner laufen. Edit: Hat nix gefunden außer halt das übliche was auch bei "have I been pwnd" zu finden ist.
Ansonsten nutze ich eigentlich nur iOS Geräte.

Hast du das Passwort schon mal woanders benutzt?

Nein

Wie kann man bei Spotify sein Passwort zurücksetzen? Ist deine Emailadresse eventuell gehacked?

Ich nutze eine alte hotmail Adresse, diese ist über meinen Microsoft Account mittels 2FA gesichert.
Daher nein.

Hast du das Passwort für Spotify ausversehen irgendwo in einer Spam-Webseite eingetragen?

Nein

Was für einen Passwort Manager verwendest du?

Enpass

 

[MoonTower]

Hattest Du denn bei den Geräten, die Du dann abgemeldet hast, ein "fremdes" Gerät gesichtet?

Evtl. war das doch nur ein falscher Alarm von Spotify ...

 

[MetalForLive]

Hattest Du denn bei den Geräten, die Du dann abgemeldet hast, ein "fremdes" Gerät gesichtet?

Hatte ich mir zu dem Zeitpunkt nicht angeschaut, da ich unterwegs war.
Hab nur "alle abmelden" gedrückt.

Evtl. war das doch nur ein falscher Alarm von Spotify ...

Nein, ich hatte tatsächlich irgendwelche neuen Künstler in meinem Spotify Verlauf.

 

[Winston90]

Hast du deine Spotify E-Mail-Adresse schon mal auf das Erscheinen in Datenlecks überprüft mittels
https://monitor.mozilla.org/
Oder
https://haveibeenpwned.com/

 

[BFF]

War das eine echte Anmeldung oder ein Anmeldeversuch?

Und hattest Du ein fremdes Gerät?

Also gegen 18:19 habe ich über die Kontoseite von Spotify alle Geräte abgemeldet.

 

[MetalForLive]

Hast du deine Spotify E-Mail-Adresse schon mal auf das Erscheinen in Datenlecks überprüft mittels

https://haveibeenpwned.com/

Ja, und ja sie kommt mehrfach vor.
Allerdings benötigt man zum login nun mal auch das Passwort und dieses war wie gesagt random generiert und nur für diesen Account genutzt.

 

[einfachpeer]

Vielleicht eine Kontoverbindung zu Spotify die gehackt wurde ? Sowas wie auf dem Smart TV oder so ?

Ergänzung (Samstag um 12:47)

Bei Spotify hatte ich und ein unabhängiger Kumpel das auch schon.

Seitdem habe ich eine extra Mail für Spotify und lade nur mit den 10er Karten von der Tanke mein Guthaben auf.

Wenn was passiert dann sind nur die Playlisten weg.

Entweder Spotify führt endlich 2FA ein oder man kann es meiner Meinung nach nur so machen !

 

[Ayo34]

Nein, ich hatte tatsächlich irgendwelche neuen Künstler in meinem Spotify Verlauf.

Aber insgesamt hört sich das einfach komisch an. Ein US-Bürger hat dich gehackt und hat es dann auf Spotify abgesehen, aber nur um Spotify zu nutzen? Ist jedenfalls nicht das typische Verhalten. Meistens geht es eher von Richtung Russland/China/Asia aus und dann eigentlich auch nicht um einfach Musik zu hören.

 

[Winston90]

Hast du dich vllt irgendwann/irgendwo mit deinem Spotify Account auf dem PC oder Handy von einer anderen Person angemeldet? Bspw auf einer Feier oder ähnlichem.

 

[einfachpeer]

Habe auch irgendwo mal gelesen, dass solche Accounts dann weiterverkauft werden.

Da mein Kumpel und ich wiegesagt beide das hatten und nur die Playlists geändert wurden denke ich schon.

Ich bin ganz happy mit spotifydeinemail@gmail.com und Prepaid.

So kann nix passieren und kannst spotify nutzen

 

[Winston90]

und hat es dann auf Spotify abgesehen, aber nur um Spotify zu nutzen? Ist jedenfalls nicht das typische Verhalten.

Naja, spätestens im Dark Net kannst du für eine Apfel und ein Ei gehackte Konten mit Zugang zu Netflix & Co. kaufen. Keine Ahnung, ob es sowas war. Aber im Raum des Möglichen wäre das schon.

 

[MetalForLive]

Vielleicht eine Kontoverbindung zu Spotify die gehackt wurde ? Sowas wie auf dem Smart TV oder so ?

Uff, gute Frage. Hab mich aktuell glaube nur noch auf meinem Apple TV angemeldet und Alexa

Bei Spotify hatte ich und ein unabhängiger Kumpel das auch schon.

Okay, beruhigend dass ich nicht allein bin. Auf der anderen Seite noch beunruhigender, dass es wohl öfter vorkommt.

Seitdem habe ich eine extra Mail für Spotify und lade nur mit den 10er Karten von der Tanke mein Guthaben auf.
Wenn was passiert dann sind nur die Playlisten weg.
Entweder Spotify führt endlich 2FA ein oder man kann es meiner Meinung nach nur so machen !

Also ich hab gerade mal geschaut, da ich ein Family Abo habe mit meiner Schwester und meinen Eltern zusammen.
Man kann die hinterlegten Zahlungsinfos nur ändern, sie aber nicht einsehen.

2FA wäre wirklich wünschenswert...

Aber insgesamt hört sich das einfach komisch an. Ein US-Bürger hat dich gehackt und hat es dann auf Spotify abgesehen, aber nur um Spotify zu nutzen? Ist jedenfalls nicht das typische Verhalten. Meistens geht es eher von Richtung Russland/China/Asia aus und dann eigentlich auch nicht um einfach Musik zu hören.

Ich denke den Standort kann man sowieso nicht für Ernst nehmen.
Wer die kriminelle Energie hat einen Account zu übernehmen wird mit Sicherheit auch über die Funktionalität von VPN bescheid wissen.

Fakt ist, es kam eine fremde Anmeldung aus einem Land in dem ich mich gerade nicht befunden habe.

Hast du dich vllt irgendwann/irgendwo mit deinem Spotify Account auf dem PC oder Handy von einer anderen Person angemeldet? Bspw auf einer Feier oder ähnlichem.

Nicht das ich wüsste.

 

[einfachpeer]

Vielleicht geht die Sicherheitslücke auch von deinen Familienmitgliedern aus ?

Ich empfehle dir 10 € Prepaid im Monat !

 

[MetalForLive]

Vielleicht geht die Sicherheitslücke auch von deinen Familienmitgliedern aus ?

War auch mein erster Gedanke, aber deren Accounts sind ja unabhängig von meinem.
Daher kann das nicht sein.

 

[h00bi]

Am Montag gegen 18:03 Uhr bekam ich eine Mail von Spotify, dass ich mich auf einem neuen Gerät (Region USA) angemeldet habe - Die Mail war wirklich von Spotify, ich hab den Mail Header geprüft.

Manchmal sind das auch einfach nur Fehler.

Ich hatte vor einiger Zeit mal einen M365 2FA Anruf. Damit ein Anruf ausgelöst wird, muss ja das Kennwort bekannt sein. Zudem nutze ich als primäre 2FA Variante MS-Authenticator, kein Telefonisches 2FA.
Hatte total Panik und konnte ebenfalls nicht verstehen, wie das Passwort geleaked sein könnte.
Das Azure Anmeldeprotokoll hat aber nichts außergewöhnliches angezeigt.
Ich hab den Fall dann beim Microsoft Support so hoch wie möglich eskaliert, am Ende hieß es, es wäre nichts nachvollziehbar, MS sah nur die Tests von meinem Smartphone im Inkognito Mode.
Ich hätte mein Passwort ja geändert und damit wäre die Sache erledigt.

Hättest du einen Keylogger auf deiner Kiste, würde man sicher nicht bei deinem Spotify Account anfangen.

 

[MetalForLive]

Manchmal sind das auch einfach nur Fehler.

Ich denke bei einem Fehler, werden aber nicht plötzliche ~20 neue Künstler zu meinen Favoriten hinzugefügt sowie in der History angezeigt.
Also da war schon was dran.

 

[BFF]

Der Nachweis eines neuen Gerätes wäre es gewesen um sicher zu sein.

Jetzt kann in Theorie nur noch der Anbieter nachvollziehen ob ein Neues da war. 🤷‍♂️