Платформа для обмена изображениями и записи экрана Gyazo подтвердила, что подверглась взлому 11 сентября 2026 года после того, как злоумышленники использовали уязвимость на одном из её серверов для доступа к базе данных и кражи около 23,62 млн записей пользователей. Компания, которой управляет Helpfeel, объявила о временной приостановке работы сервиса для технического обслуживания и расследования.
Gyazo обнаружила подозрительную активность 12 сентября и сообщила, что устранила уязвимость, использованную при взломе, однако к тому моменту данные уже были скопированы. Согласно заявлению компании, несанкционированный доступ затронул информацию о пользователях и метаданные, связанные с загруженными изображениями.
Какие данные были доступны злоумышленникам?
Объём раскрытых данных различается для разных аккаунтов и может включать имена пользователей или псевдонимы, адреса электронной почты, хеши паролей, идентификаторы пользователей и устройств, идентификаторы сеансов входа, токены интеграции с X и адреса электронной почты, связанные со входом через Google, а также данные профилей, сведения о подписках, статус оплаты и статистику использования.
Данные также включали анонимные аккаунты, однако Gyazo не уточнила их долю от общего числа записей.
490 млн записей метаданных изображений
Компания сообщила, что инцидент также затронул около 490 млн записей метаданных изображений, большая часть которых связана с изображениями, загруженными до января 2019 года. Эти данные включают идентификаторы изображений, используемые при формировании ссылок на них, IP-адреса во время загрузки, строки User-Agent, сведения о местоположении, извлечённые из EXIF, текст, извлечённый с помощью OCR, заголовки изображений и исходные ссылки, а также хешированные кодовые фразы для личных изображений.
Helpfeel признаёт, что идентификаторы изображений могут использоваться для доступа к соответствующему содержимому, поэтому компания временно отключила доступ к файлам, затронутым раскрытыми записями. Злоумышленники также получили список, указывающий на личные изображения, и компания не может исключить возможность доступа к некоторым из них, хотя признаков удаления данных в результате инцидента обнаружено не было.
Почему эта новость важна?
Риск здесь не ограничивается данными аккаунтов: метаданные изображений могут раскрывать места загрузки или текст, извлечённый из изображений, а идентификаторы изображений и ссылки могут помочь связать записи с содержимым. Наличие среди потенциально раскрытых данных идентификаторов сеансов и токенов интеграции повышает важность мер реагирования, даже несмотря на то, что компания не сообщала о доказательствах использования этих элементов.
Helpfeel не обнаружила доказательств кражи данных из двух других своих сервисов — Helpfeel и Cosense — и сообщила, что напрямую уведомляет затронутых пользователей, расследует инцидент с помощью внешних экспертов и информирует власти.
Gyazo рекомендует всем пользователям изменить пароли в сервисе и на любых других платформах, где использовались те же пароли, а также остерегаться подозрительных сообщений. Доля анонимных записей и вопрос о том, просматривались ли личные изображения на самом деле, остаются невыясненными аспектами.