Die Plattform für das Teilen von Bildern und Bildschirmaufnahmen Gyazo bestätigte, dass sie am 11. September 2026 Opfer eines Angriffs wurde. Angreifer nutzten eine Schwachstelle in einem ihrer Server aus, um auf die Datenbank zuzugreifen und etwa 23,62 Millionen Nutzerdatensätze zu stehlen. Das von Helpfeel betriebene Unternehmen kündigte an, den Dienst vorübergehend für Wartungsarbeiten und Untersuchungen einzustellen.
Gyazo entdeckte die verdächtige Aktivität am 12. September und erklärte, die beim Angriff ausgenutzte Schwachstelle behoben zu haben. Zu diesem Zeitpunkt waren die Daten jedoch bereits kopiert worden. Nach Angaben des Unternehmens umfasste der unbefugte Zugriff Nutzerinformationen und mit hochgeladenen Bildern verbundene Metadaten.
Auf welche Daten wurde zugegriffen?
Der Umfang der offengelegten Daten unterscheidet sich von Konto zu Konto und kann Nutzernamen oder Spitznamen, E-Mail-Adressen, Passwort-Hashes, Nutzer- und Gerätekennungen, Anmeldesitzungskennungen, Integrationstoken für X sowie E-Mail-Adressen im Zusammenhang mit der Anmeldung über Google umfassen. Hinzu kommen Profildetails, Abonnementinformationen, der Abrechnungsstatus und Nutzungsstatistiken.
Die Daten umfassten außerdem anonymisierte Konten, ohne dass Gyazo deren Anteil an der Gesamtzahl der Datensätze angab.
490 Millionen Bildmetadatensätze
Nach Angaben des Unternehmens waren von dem Vorfall außerdem etwa 490 Millionen Bildmetadatensätze betroffen, die größtenteils mit Bildern verknüpft sind, die vor Januar 2019 hochgeladen wurden. Diese Daten umfassen Bildkennungen, die zur Erstellung der entsprechenden Links verwendet werden, IP-Adressen beim Hochladen, User-Agent-Zeichenfolgen, aus EXIF extrahierte Standortdaten, mittels OCR extrahierte Texte, Bildtitel und Quelllinks sowie gehashte Passphrasen für private Bilder.
Helpfeel räumt ein, dass Bildkennungen dazu verwendet werden könnten, auf die zugehörigen Inhalte zuzugreifen. Daher deaktivierte das Unternehmen vorübergehend den Zugriff auf die Dateien, die in den offengelegten Datensätzen enthalten waren. Die Angreifer erlangten außerdem eine Liste, aus der hervorgeht, welche Bilder privat sind. Das Unternehmen kann daher nicht ausschließen, dass einige davon eingesehen wurden, obwohl keine Hinweise darauf gefunden wurden, dass infolge des Vorfalls Daten gelöscht wurden.
Warum ist diese Nachricht wichtig?
Das Risiko beschränkt sich hier nicht auf Kontodaten. Bildmetadaten können Upload-Orte oder aus Bildern extrahierte Texte offenlegen. Außerdem können Bildkennungen und Links dabei helfen, Datensätze mit den Inhalten zu verknüpfen. Das Vorhandensein von Sitzungskennungen und Integrationstoken in den möglicherweise betroffenen Daten erhöht die Bedeutung der Reaktionsmaßnahmen, auch wenn das Unternehmen keine Belege für eine Nutzung dieser Elemente bekannt gegeben hat.
Helpfeel fand keine Beweise für den Diebstahl von Daten aus seinen beiden anderen Diensten Helpfeel und Cosense. Das Unternehmen erklärte, die betroffenen Nutzer direkt zu benachrichtigen, den Vorfall mit Unterstützung externer Experten zu untersuchen und die Behörden zu informieren.
Gyazo empfiehlt allen Nutzern, ihre Passwörter für den Dienst sowie für alle anderen Plattformen zu ändern, auf denen dieselben Passwörter verwendet wurden, und bei verdächtigen Nachrichten vorsichtig zu sein. Der Anteil der anonymisierten Datensätze und die Frage, ob private Bilder tatsächlich eingesehen wurden, gehören weiterhin zu den Punkten, die die Quelle noch nicht geklärt hat.