Утечка в Gyazo: похищены данные 23,6 миллиона пользователей

Платформа Gyazo сообщила об утечке данных: злоумышленники проэксплуатировали уязвимость сервера и получили доступ к базе, похитив около 23,62 миллиона пользовательских записей. Gyazo — облачный инструмент для создания скриншотов и записи экрана, разрабатываемый компанией Helpfeel; сделанные снимки автоматически загружаются в облако и получают ссылку для быстрого распространения в чатах, на форумах и в соцсетях. Сервис особенно популярен в игровых сообществах и заявляет о 23 миллионах пользователей, загрузивших 3,1 миллиарда медиафайлов.

Хронология инцидента

По данным компании, инцидент произошёл 11 сентября 2026 года. Подозрительную активность заметили лишь на следующий день, 12 сентября, после чего уязвимость закрыли — но к тому моменту данные уже были украдены. На время расследования и технических работ платформу временно отключили. В сообщении в X компания принесла извинения за неудобства и попросила пользователей подождать восстановления сервиса.

Что попало в руки злоумышленников

Состав похищенных данных варьируется от пользователя к пользователю и может включать имена и никнеймы, адреса электронной почты, хеши паролей, идентификаторы пользователей и устройств, идентификаторы сессий, токены интеграции с X, адреса Google SSO, сведения о профиле, данные о подписке и биллинге, а также статистику использования. В выгрузку попали и анонимные учётные записи, однако их долю компания не раскрыла.

Отдельную тревогу вызывают 490 миллионов записей метаданных изображений — в основном для файлов, загруженных до января 2019 года. Сюда входят идентификаторы изображений, из которых формируются URL, IP-адреса загрузки, строки User-Agent, геоданные из EXIF, распознанный через OCR текст, заголовки, исходные ссылки и хешированные парольные фразы приватных изображений. Компания подчёркивает, что по идентификаторам можно потенциально добраться до самого контента, поэтому доступ к затронутым файлам временно закрыли. Более того, злоумышленники заполучили список, помечающий приватные изображения, и Helpfeel не исключает, что часть из них могли просмотреть.

Последствия

Признаков удаления данных расследование не выявило; следов кражи из других сервисов Helpfeel — Cosense и одноимённого продукта — также не обнаружено. Компания уведомляет пострадавших напрямую, привлекла внешних экспертов и обратилась в правоохранительные органы. Всем пользователям рекомендовано сменить пароль в Gyazo и на других площадках, где использовались те же учётные данные, и сохранять бдительность к подозрительным сообщениям.

Источник: Bleeping Computer