Un service de captures d'écran a perdu 23 millions de comptes, et les liens vers 490 millions d'images
Arrêtez-vous un instant sur ce que contiennent vraiment vos captures d'écran. Une confirmation de commande. Une conversation. Un solde bancaire que vous montriez à un proche. La moitié d'un e-mail.
Gyazo, l'outil de capture et de partage d'images exploité par la société de Kyoto Helpfeel, a été pénétré le 11 septembre. Un attaquant a trouvé une faille dans le serveur de téléversement d'images qui lui permettait d'y exécuter des commandes, et de là il a atteint la base de données. Helpfeel a repéré l'intrusion le soir même, coupé l'accès et corrigé la faille au petit matin du 12 septembre, prévenu les autorités le 15 et le public le 16. Environ 23,62 millions d'enregistrements d'utilisateurs sont partis : noms ou pseudonymes, adresses e-mail, mots de passe hachés, identifiants d'utilisateur et d'appareil, identifiants de session, jetons d'intégration X, adresses de connexion Google, statut d'abonnement et de facturation. Aucun numéro de carte n'en faisait partie.
Le chiffre le plus important est celui que personne ne met dans le titre. Les métadonnées d'environ 490 millions d'images ont elles aussi été prises, et elles comprennent les informations servant à construire l'URL d'une image. On y trouve aussi l'adresse IP d'où venait le téléversement, les données de localisation EXIF et le texte OCR, c'est-à-dire la lecture que Gyazo faisait lui-même des mots présents dans vos images. L'essentiel date d'avant janvier 2019, quand on collait des captures d'écran un peu partout avec nettement moins de précautions qu'aujourd'hui.
Helpfeel demande à chaque utilisateur de changer son mot de passe Gyazo et, surtout, de le changer partout où il a servi ailleurs. C'est cette seconde partie qui compte vraiment avec une fuite de ce genre. Si vous avez une vague idée des comptes qui partagent un mot de passe mais aucune liste réelle, le contrôle de confidentialité et de comptes de Tendvane vous montrera au moins quels comptes sont connectés sur votre PC pour commencer.