Плейлисты и подкасты в Spotify используются для продвижения пиратского софта, читов для игр, спамерских ссылок и сайтов с варезом. Злоумышленники внедряют ключевые слова и ссылки в названия плейлистов и описания подкастов, ради SEO-оптимизации сомнительных ресурсов, так как результаты работы веб-плеера Spotify отображаются в выдаче поисковиков (например, Google).
Одним из первых внимание на эту проблему обратил ИБ-энтузиаст Кароль Пацерек (Karol Paciorek), обнаружив в Spotify плейлист с названием «Sony Vegas Pro 13 Crack...» (в настоящее время уже удален). В этом случае ссылки в названии и описании пейлиста вели на подозрительные сайты с бесплатным софтом.
«Киберпреступники используют Spotify для распространения вредоносного ПО. Почему? Spotify имеет хорошую репутацию, и его страницы легко индексируются поисковыми системами, что делает его эффективной платформой для продвижения вредоносных ссылок», — пояснил исследователь.
Как отмечают журналисты издания Bleeping Computer, нет никаких гарантий того, что попытка загрузить пиратский софт с таких ресурсов окажется удачной. Такие сайты могут содержать вредоносное ПО или переадресовывать пользователей на мошеннические сайты с различными опросами и розыгрышами.
Издание сообщает, что злоупотребление Spotify действительно помогает злоумышленникам повышать рейтинг сомнительных сайтов в поисковых системах. К примеру, при поиске по ключевым словам «free download» в сочетании с «Sony Vegas Pro 13» в Google можно получить следующие результаты.
Как уже было замечено выше, злоупотребления строятся вокруг веб-плеера Spotify, который расположен по адресу open.spotify.com. Ведь плейлисты и подкасты, доступные в веб-плеере, «видны» поисковым системам.
Журналисты спросили у представителей Spotify, есть ли у компании какие-то средства контроля или автоматизированные технологии для выявления и предотвращения спама, а также не могут ли сторонние приложения и сервисы использоваться для доставки спамерского контента на платформу.
«Правила платформы Spotify запрещают публиковать, распространять или предоставлять инструкции по внедрению вредоносных программ или связанных с ними вредоносных действий, направленных на нанесение вреда или получение несанкционированного доступа к компьютерам, сетям, системам или другим технологиям», — ответили в компании, но проигнорировали другие вопросы.
При этом журналисты Bleeping Computer обнаружили, что проблема со спамом не ограничивается только плейлистами и подкастами, которые продвигают потенциально вредоносный пиратский софт. По их словам, у Spotify есть проблемы с пиратским контентом в целом, включая электронные книги.
Так, был обнаружен ряд фальшивых подкастов, каждый из которых состоял из нескольких эпизодов длиной 10-20 секунд, опубликованных с очевидным намерением: ради продвижения спамерских ссылок, ведущих в Telegram-каналы и торренты. Обычно эпизоды таких подкастов содержат синтезированную речь, которая побуждает людей переходить по «ссылке в описании».
В итоге такие ссылки приводят пользователей на страницы, где якобы можно скачать электронную книгу. На странице представлены кнопки «Скачать» и «Читать онлайн», но при нажатии на любую них либо запустится опрос, либо жертву перенаправят на установку подозрительного расширения для Chrome, которое якобы блокирует рекламу (а на самом деле, вероятно, ворует данные).
Также журналисты обнаружили аналогичные «подскасты», в которых рекламировались читы, скрипты, моды и трейнеры для таких популярных игр, как Apex Legends, Fortnite, Roblox, GTA V и так далее.
Отмечается, что общим знаменателем для многих из этих «подкастов» является использование сторонних сервисов, которые предоставляют услуги хостинга, публикации и распространения контента на стриминговых платформах, включая Spotify.
К примеру, к описанию многих фальшивых подскастов был прикреплен баннер «Powered by Firstory Hosting». Firstory — это сервис, запущенный в 2019 году и призванный «дать возможность подкастерам со всего мира распространять [свой контент] повсюду и общаться с аудиторией».
Firstory действительно можно использовать для публикации подкастов на Spotify, и представители платформы признают, что спам — это постоянная проблема, и они работают над ее решением совместно со специалистами Spotify.
«Спамерские аккаунты и контент — это постоянная проблема, и мы продолжаем работать над ее решением, — говорят представители Firstory. — Любой человек может использовать нашу платформу для публикации подкастов на Spotify. Однако у нас есть определенные фильтры, чтобы предотвратить использование аккаунтов с конкретными мошенническими доменами или email-адресами, включая такие паттерны как account+[numbers]@gmail.com или “.” в email-адресах. Такие спам-аккаунты не только нарушают права создателей, которых мы очень ценим, но и увеличивают наши операционные расходы. Мы выделяем значительные ресурсы на решение этой проблемы».
Дополнительно представители сервиса рассказали, что у них есть API-интеграция со Spotify для удаления любого «плохого» контента, а нарушения ищут самыми разными методами.
«Чтобы предотвратить размещение спамерского контента, мы сканируем названия подкастов и заметки к ним на наличие специфических ключевых слов, таких как EPUB, PDF и так далее. Проблема заключается в том, что в некоторых эпизодах используются такие варианты, как "E.P.U.B.", или "epub" используется в несвязанных с пиратством контекстах (например, в слове "republic"). Такие случаи требуют повышенного внимания в процессе рецензирования», — объясняют в компании.