Serwis do zrzutów ekranu stracił 23 miliony kont i odnośniki do 490 milionów obrazów

Zatrzymajcie się na chwilę i pomyślcie, co tak naprawdę widać na waszych zrzutach ekranu. Potwierdzenie zamówienia. Rozmowa na czacie. Saldo konta, które pokazywaliście komuś z rodziny. Pół wiadomości e-mail.

Gyazo, narzędzie do zrzutów ekranu i udostępniania obrazów prowadzone przez firmę Helpfeel z Kioto, zostało zaatakowane 11 września. Napastnik znalazł lukę w serwerze przyjmującym obrazy, która pozwoliła mu wykonywać na nim polecenia, i stamtąd dostał się do bazy danych. Helpfeel zauważył włamanie tego samego wieczoru, odciął dostęp i załatał lukę wczesnym rankiem 12 września, zgłosił sprawę władzom 15 września, a opinii publicznej powiedział 16 września. Wyciekło około 23,62 miliona rekordów użytkowników: imiona lub pseudonimy, adresy e-mail, skróty haseł, identyfikatory użytkowników i urządzeń, identyfikatory sesji, tokeny integracji z X, adresy logowania Google oraz status subskrypcji i płatności. Numerów kart tam nie było.

Większa liczba to ta, której nikt nie wstawia do nagłówka. Zabrano też metadane około 490 milionów obrazów, a wśród nich informacje służące do zbudowania adresu URL obrazu. Są tam również adres IP, z którego przesłano plik, dane lokalizacji EXIF oraz tekst z OCR, czyli to, co samo Gyazo odczytało ze słów widocznych na waszych obrazach. Większość pochodzi sprzed stycznia 2019 roku, kiedy zrzuty ekranu wklejało się wszędzie ze znacznie mniejszą ostrożnością niż dziś.

Helpfeel prosi wszystkich o zmianę hasła do Gyazo, a przede wszystkim o zmianę go wszędzie tam, gdzie było użyte ponownie. To ta druga część jest najważniejsza przy takim wycieku. Jeśli mniej więcej wiecie, które konta mają wspólne hasło, ale nie macie prawdziwej listy, kontrola prywatności i kont w Tendvane pokaże wam przynajmniej, na jakich kontach jesteście zalogowani na tym komputerze, żeby było od czego zacząć.