Ein Screenshot-Dienst hat 23 Millionen Konten verloren und die Links zu 490 Millionen Bildern

Halten Sie kurz inne und überlegen Sie, was in Ihren Screenshots tatsächlich zu sehen ist. Eine Bestellbestätigung. Ein Chatverlauf. Ein Kontostand, den Sie einem Angehörigen gezeigt haben. Eine halbe E-Mail.

Gyazo, das Screenshot- und Bildfreigabewerkzeug der Kyotoer Firma Helpfeel, wurde am 11. September kompromittiert. Ein Angreifer fand eine Lücke im Upload-Server für Bilder, über die er dort Befehle ausführen konnte, und gelangte von dort an die Datenbank. Helpfeel bemerkte den Einbruch noch am selben Abend, kappte den Zugang und schloss die Lücke in den frühen Morgenstunden des 12. September, meldete den Vorfall am 15. den Behörden und informierte am 16. die Öffentlichkeit. Rund 23,62 Millionen Nutzerdatensätze sind abgeflossen: Namen oder Spitznamen, E-Mail-Adressen, Passwort-Hashes, Nutzer- und Geräte-IDs, Sitzungs-IDs, X-Integrationstoken, Google-Anmeldeadressen sowie Abo- und Abrechnungsstatus. Kartennummern waren nicht dabei.

Die größere Zahl steht in keiner Schlagzeile. Auch Metadaten zu etwa 490 Millionen Bildern wurden mitgenommen, und dazu gehören die Angaben, aus denen sich die URL eines Bildes zusammensetzt. Ebenfalls enthalten: die IP-Adresse, von der der Upload kam, EXIF-Standortdaten und OCR-Text, also das, was Gyazo selbst an Wörtern in Ihren Bildern gelesen hat. Das meiste stammt aus der Zeit vor Januar 2019, als man Screenshots noch deutlich unbedarfter herumgereicht hat als heute.

Helpfeel bittet alle Nutzer, ihr Gyazo-Passwort zu ändern und vor allem überall dort, wo sie dasselbe Passwort verwendet haben. Genau dieser zweite Teil ist bei so einem Leck das Entscheidende. Wenn Sie eine ungefähre Vorstellung davon haben, welche Konten sich ein Passwort teilen, aber keine echte Liste, zeigt Ihnen die Datenschutz- und Kontenprüfung von Tendvane zumindest, welche Konten auf Ihrem PC angemeldet sind, um damit anzufangen.