La plateforme Gyazo a confirmé avoir été victime d’un piratage exploitant une vulnérabilité de son serveur, entraînant le vol d’environ 23,62 millions d’enregistrements d’utilisateurs et de 490 millions d’enregistrements de métadonnées d’images. L’entreprise a temporairement interrompu le service et averti que certaines images privées pourraient avoir été consultées.
La plateforme de partage d’images et d’enregistrement d’écran Gyazo a confirmé avoir été victime d’un piratage survenu le 11 septembre 2026, après que des attaquants ont exploité une vulnérabilité sur l’un de ses serveurs pour accéder à la base de données et voler environ 23,62 millions d’enregistrements d’utilisateurs. L’entreprise, gérée par Helpfeel, a annoncé la suspension temporaire du service afin d’effectuer une maintenance et une enquête.
Gyazo a détecté l’activité suspecte le 12 septembre et a déclaré avoir corrigé la vulnérabilité utilisée lors du piratage, mais les données avaient déjà été copiées. Selon le communiqué de l’entreprise, l’accès non autorisé concernait les informations des utilisateurs ainsi que les métadonnées associées aux images mises en ligne.
Quelles données ont été consultées ?
L’étendue des données exposées varie d’un compte à l’autre et peut inclure les noms d’utilisateur ou pseudonymes, les adresses e-mail, les hachages de mots de passe, les identifiants d’utilisateurs et d’appareils, les identifiants de sessions de connexion, les jetons d’intégration à X et les adresses e-mail associées à la connexion via Google, ainsi que les détails des profils, les informations d’abonnement, l’état de la facturation et les statistiques d’utilisation.
Les données comprenaient également des comptes anonymes, sans que Gyazo ne précise leur proportion dans le total des enregistrements.
490 millions d’enregistrements de métadonnées d’images
L’entreprise a déclaré que l’incident concernait également environ 490 millions d’enregistrements de métadonnées d’images, dont la plupart sont associés à des images mises en ligne avant janvier 2019. Ces données comprennent les identifiants d’images utilisés pour générer leurs liens, les adresses IP lors de la mise en ligne, les chaînes User-Agent, les données de localisation extraites des informations EXIF, les textes extraits grâce à la technologie OCR, les titres des images et les liens sources, ainsi que des phrases secrètes hachées pour les images privées.
Helpfeel reconnaît que les identifiants d’images peuvent être utilisés pour accéder au contenu correspondant et a donc temporairement désactivé l’accès aux fichiers concernés par les enregistrements exposés. Les attaquants ont également obtenu une liste identifiant les images privées, et l’entreprise ne peut pas exclure la possibilité que certaines d’entre elles aient été consultées, bien qu’aucun indice de suppression de données à la suite de l’incident n’ait été trouvé.
Pourquoi cette information est-elle importante ?
Le risque ne se limite pas aux données des comptes ; les métadonnées des images peuvent révéler les lieux de mise en ligne ou des textes extraits des images, tandis que les identifiants d’images et les liens peuvent contribuer à relier les enregistrements au contenu. La présence d’identifiants de session et de jetons d’intégration parmi les données potentiellement exposées renforce l’importance des mesures de réponse, même si l’entreprise n’a pas annoncé de preuve de l’utilisation de ces éléments.
Helpfeel n’a trouvé aucune preuve de vol de données provenant de ses deux autres services, Helpfeel et Cosense, et a déclaré qu’elle informait directement les utilisateurs concernés et enquêtait sur l’incident avec l’aide d’experts externes, tout en en informant les autorités.
Gyazo conseille à tous les utilisateurs de modifier leurs mots de passe sur le service ainsi que sur toute autre plateforme où les mêmes mots de passe ont été utilisés, et de se méfier des messages suspects. La proportion des enregistrements anonymes et la question de savoir si des images privées ont effectivement été consultées restent des points que la source n’a pas encore tranchés.