Gyazo взломали. Утечка затронула 23 млн записей
Представители японской компании Helpfeel сообщили о взломе сервиса Gyazo, предназначенного для создания скриншотов, GIF и коротких записей экрана. Злоумышленники получили доступ к 23,6 млн пользовательских записей, а также к метаданным около 490 млн изображений. При этом похищенная информация позволяет восстановить некоторые ссылки, хотя раньше это считалось невозможным.
Атака была обнаружена вечером 11 сентября 2026 года. Хакеры воспользовались уязвимостью на сервере загрузки изображений Gyazo и благодаря этому багу получили возможность выполнять произвольные команды в системах Helpfeel. Утром 12 сентября специалисты компании заблокировали злоумышленникам доступ и исправили проблему, однако к этому моменту хакеры уже добрались до базы Gyazo.
Сообщается, что в скомпрометированных записях могут содержаться имена, email-адреса, хеши паролей, идентификаторы пользователей и устройств, ID активных сессий, токены интеграции с соцсетью X, данные профилей, информация о подписках и биллинге, а также статистика использования сервиса. Подчеркивается, что данные банковских карт и другая платежная информация не пострадали.
Нужно отметить, что 23,62 млн — это число скомпрометированных записей, а не пострадавших людей. Так как среди этого массива данных были и анонимные аккаунты (без зарегистрированного email-адреса), специалисты Helpfeel еще устанавливают реальное количество пострадавших.
Дополнительная проблема связана с компрометацией примерно 490 млн записей метаданных изображений, в основном загруженных в Gyazo до января 2019 года (примерно 14,4% от всех данных, связанных с изображениями). Так, утечка затронула ID изображений, IP-адреса, User-Agent, данные геолокации из EXIF, распознанный OCR-текст, заголовки и исходные URL.
Особенную опасность здесь представляет утечка ID. Дело в том, что ссылки Gyazo содержат 32-символьные идентификаторы, и считалось, что именно их непредсказуемость защищает изображения от посторонних. То есть картинки остаются приватными до тех пор, пока ссылка на них не будет раскрыта публично. Однако, зная ID, можно восстановить URL картинки и открыть само исходное изображение.
Из-за этого представители Helpfeel сообщают, что временно ограничили просмотр для части затронутых файлов. В компании не уточнили, какие именно изображения стали недоступны, и как пользователи могут проверить, пострадали ли их картинки в ходе атаки.
Хуже того, в руки атакующих попал список приватных изображений, которые, по всей видимости, были защищены паролем и ограничены настройкой «Only me». Специалисты Helpfeel не исключают, что атакующие могли просмотреть некоторые из таких картинок, но точное количество потенциально скомпрометированных изображений в компании пока не определили.
Теперь всем пользователям Gyazo советуют сменить пароль, а если он использовался и на других сайтах — обновить его и там. Также рекомендуется опасаться возможного фишинга с использованием утекших данных.
В настоящее время расследование инцидента с участием внешних ИБ-экспертов еще продолжается, и всех пострадавших пользователей обещают уведомить по email.
