Сервіс знімків екрана втратив 23 мільйони акаунтів і посилання на 490 мільйонів зображень

Спиніться на мить і подумайте, що насправді видно на ваших знімках екрана. Підтвердження замовлення. Листування. Баланс рахунку, який ви показували комусь із рідних. Половина листа.

Gyazo, інструмент для знімків екрана та обміну зображеннями від кіотської компанії Helpfeel, зламали 11 вересня. Зловмисник знайшов вразливість у сервері завантаження зображень, яка дозволяла виконувати на ньому команди, і звідти дістався до бази даних. Helpfeel помітив вторгнення того ж вечора, перекрив доступ і закрив діру рано вранці 12 вересня, повідомив органи влади 15-го і громадськість 16-го. Назовні пішли близько 23,62 мільйона записів користувачів: імена або псевдоніми, адреси електронної пошти, хеші паролів, ідентифікатори користувачів і пристроїв, ідентифікатори сеансів, токени інтеграції з X, адреси входу через Google, стан підписки та оплати. Номерів карток серед них не було.

Більше число - те, яке ніхто не виносить у заголовок. Забрали також метадані приблизно 490 мільйонів зображень, а серед них - відомості, з яких складається URL зображення. Там же IP-адреса, з якої йшло завантаження, дані розташування EXIF і текст OCR, тобто те, як сам Gyazo прочитав слова на ваших зображеннях. Більшість цього датується часом до січня 2019 року, коли знімки екрана розсилали значно безтурботніше, ніж тепер.

Helpfeel просить усіх змінити пароль до Gyazo і, що важливіше, змінити його всюди, де його використовували повторно. Саме ця друга частина й вирішує все при такому витоку. Якщо ви приблизно уявляєте, які акаунти мають спільний пароль, але справжнього списку немає, перевірка приватності та акаунтів у Tendvane принаймні покаже, які акаунти ввійшли на вашому ПК, щоб було з чого почати.