Nabídka „Spotify Premium zdarma“ patří mezi nejhledanější dotazy a útočníci to vědí. Krátká videa na TikToku a Instagram Reels slibující prémiový software bez placení se staly novým distribučním kanálem pro malware. Bezpečnostní firma ReversingLabs popsala dvě kampaně, které stejnou šablonou produkují stovky téměř identických videí a obě končí stejně: na disku oběti přistane infostealer Vidar. Zajímavější než samotná videa je ale otázka, jak se na takovou hrozbu dívat analyticky a proč je obvyklá reakce „najdu tu škodlivou doménu a nahlásím ji“ ztráta času.
Jak podvod se Spotify Premium zdarma funguje
ReversingLabs rozlišili dvě metody, které se liší jen způsobem, jak nalákat diváka. Cíl je u obou stejný: dostat člověka na sekundární web nebo k příkazu, který stáhne malware.
První metoda je profesionálně vypadající tutoriál. Falešné účty s názvy jako „windows.tips“ nebo „windows.insight“ používají modrobílé logo ve stylu oficiálního účtu Windows a video s automaticky generovaným hlasem provede diváka krok za krokem otevřením PowerShellu a vložením jednoho příkazu. Příkaz typu `iex irm` stáhne a spustí skript ze vzdálené adresy, kterou si oběť snadno splete s legitimní microsoftí doménou. Jedno z těchto videí nasbíralo přes sto tisíc zhlédnutí. Důležitý detail: útočníci cílí na uložení a sdílení videa, ne na lajky, protože uložení a sdílení mají v doporučovacím algoritmu mnohem vyšší váhu a posunou obsah k více lidem.
Druhá metoda profesionalitu opouští. Jde o ležérní videa s trendovou hudbou, kde někdo jen prochází prémiové funkce aplikace s popiskem, že je má zdarma. Smysl odhalí až sekce komentářů. Vágní video vyprovokuje zvědavé diváky k otázce „jak“, a teprve na ten dotaz útočník odpoví instrukcemi nebo odkazem. Hook se nasadí až ve chvíli, kdy účet získá dosah. Nejdřív organická důvěra, potom monetizace.
Co tam reálně přistane
Finální payload je Vidar, infostealer prodávaný jako služba. Cena se pohybuje kolem tří set dolarů za doživotní licenci, což z něj dělá nástroj dostupný komukoli bez ohledu na technickou úroveň. Vidar je aktivní od roku 2018 a loni v říjnu prošel aktualizací, která ho udělala odolnějším vůči detekci.
Co Vidar po infekci odešle na servery útočníka:
- uložená hesla, cookies a autofill data z prohlížečů, včetně části dat dvoufaktorového ověření,
- přihlašovací údaje k nainstalovaným aplikacím a službám
- informace o systému a nainstalovaném softwaru
- privátní klíče a data kryptoměnových peněženek
Pro firmu je nejnebezpečnější ta první položka. Infostealer na soukromém zařízení zaměstnance, který si do prohlížeče uložil pracovní přihlašovací údaje, se velmi snadno mění v kompromitaci firemního účtu. To je přesně ten most mezi „soukromý telefon se Spotify hackem“ a „incident v podnikové síti“.
## Proč nemá smysl honit konkrétní domény
Tady je jádro analytického pohledu. Většina domén, které ReversingLabs v kampani zachytili, byla v době zveřejnění už nefunkční nebo stažená. Vypadá to jako dobrá zpráva, ve skutečnosti to ale nic neřeší.
Vidar totiž domény pro stahování payloadu obměňuje každé tři až čtyři dny. To není vlastnost téhle konkrétní kampaně, je to standardní chování malwaru. Konkrétní doména je proto jen momentka rotujícího setu. Nahlásit a odstranit ji znamená seknout jednu hlavu hydře, která má v záloze další. Stejné je to s účty na sociálních sítích: i když platforma video stáhne, obvykle se tak stane až po statisících zhlédnutí a operátor jednoduše založí nový profil.
Analyticky užitečný pivot proto nevede přes doménu, ale přes otisk souboru a přes vzorec chování. Hash škodlivého souboru umožní ve veřejných nástrojích dohledat příbuzné vzorky a celý cluster infrastruktury najednou. To je rozdíl mezi reakcí na jeden symptom a pochopením celé kampaně.
Co si z toho odnést
Hrozba není v tom, že by šlo o sofistikovaný útok. Je primitivní a právě v tom je nebezpečná. Spojuje levný malware jako službu s nejlevnějším možným distribučním kanálem a cílí na lidskou zvědavost a touhu po placené věci zdarma. Lidé hledají podvody v e-mailu a v SMS, na sociálních sítích už méně, obzvlášť když obsah působí jako pomoc, ne jako naléhavá výzva.
Pro běžného uživatele platí jediné jednoduché pravidlo, které pokryje celou tuhle třídu útoků a nejen podvod se Spotify Premium zdarma: žádný příkaz vložený do PowerShellu nebo terminálu z videa, návodu nebo komentáře neudělá software zdarma. Vždy odemkne jen útočníkovi cestu do počítače. Software se pořizuje výhradně přes oficiální kanály.
Pro firmu z toho plyne pár konkrétních opatření. Pravidelný audit oprávnění k instalaci softwaru. Bezpečnostní školení, které rozšiřuje povědomí i mimo klasický e-mailový phishing. A vědomí, že infostealer na soukromém zařízení zaměstnance je reálná cesta ke kompromitaci firemních účtů, což staví do popředí správu identit a vícefaktorové ověření odolné vůči krádeži tokenů.
Infosecurity Magazine: Fake Software Tutorials on TikTok Spread Vidar Stealer — https://www.infosecurity-magazine.com/news/fake-software-videos-tiktok-vidar/ Malwarebytes: Free Spotify Premium hacks on social media are spreading infostealers : https://www.malwarebytes.com/blog/news/2026/06/free-spotify-premium-hacks-on-social-media-are-spreading-infostealers
Hackread: Scammers Use TikTok and Instagram Reels to Spread Vidar Infostealer — https://hackread.com/scammers-tiktok-instagram-reels-vidar-infostealer/
Cybernews (ten článek, ze kterého jsme začínali): https://cybernews.com/security/fake-free-spotify-premium-tiktok-videos-steal-passwords/
