Die Bildfreigabeplattform Gyazo teilt mit, dass eine Server-Schwachstelle bei einem Vorfall ausgenutzt wurde, durch den Informationen zu etwa 23,62 Millionen Nutzerdatensätzen offengelegt wurden. Das Unternehmen entdeckte am 12. September verdächtige Aktivitäten, einen Tag nach dem gemeldeten Eindringen, und hat den Dienst während der Untersuchung und Wartungsarbeiten vorübergehend ausgesetzt.
Gyazo wird von Helpfeel betrieben und ermöglicht Nutzern, Screenshots und Bildschirmaufzeichnungen hochzuladen, um teilbare Links zu erstellen. Nach Angaben des Unternehmens hat es mehr als 23 Millionen Nutzer und hostet Milliarden von Mediendateien.
Möglicherweise offengelegte Informationen
Laut Gyazo unterscheiden sich die betroffenen Daten je nach Nutzer. Zu den offengelegten Kontoinformationen können Namen oder Aliasse, E-Mail-Adressen, Passwort-Hashes, Konto- und Gerätekennungen, Anmeldesitzungskennungen, Profildaten, Angaben zu Abonnement- und Rechnungsstatus, Nutzungsdaten, E-Mail-Adressen für die Google-Einmalanmeldung sowie Token im Zusammenhang mit X-Integrationen gehören.
Das Unternehmen berichtete zudem, dass auf rund 490 Millionen Bildmetadatensätze möglicherweise zugegriffen wurde. Die meisten dieser Datensätze beziehen sich Berichten zufolge auf Bilder, die vor Januar 2019 hochgeladen wurden. Die Metadaten können Bildkennungen, Upload-IP-Adressen, Browser-User-Agent-Informationen, Bildtitel, Quell-URLs, per OCR ermittelten Text, EXIF-Standortdaten und gehashte Passphrasen für private Bilder umfassen.
Mögliche Auswirkungen und Reaktion
Gyazo warnte, dass Bild-IDs möglicherweise verwendet werden könnten, um auf die zugehörigen Inhalte zuzugreifen. Vorsorglich hat das Unternehmen den Zugriff auf Dateien deaktiviert, die mit offengelegten Datensätzen verbunden sind. Die Angreifer erlangten zudem eine Liste mit privaten Bildern; das Unternehmen erklärte, es könne nicht ausschließen, dass einige private Inhalte eingesehen wurden.
Das Unternehmen teilte mit, die bei dem Einbruch ausgenutzte Schwachstelle behoben zu haben, und habe keine Hinweise darauf gefunden, dass Daten gelöscht wurden. Zudem erklärte es, die Untersuchung habe keine Belege dafür ergeben, dass andere Dienste von Helpfeel oder Cosense betroffen waren. Gyazo arbeitet mit externen Spezialisten zusammen, hat die zuständigen Behörden kontaktiert und benachrichtigt betroffene Nutzer direkt.
- Gyazo-Nutzer sollten ihr Passwort für den Dienst zurücksetzen.
- Wer dieses Passwort auch an anderer Stelle verwendet hat, sollte es bei diesen Diensten ebenfalls ändern.
- Nutzer sollten auf Phishing-E-Mails oder andere verdächtige Nachrichten achten, in denen offengelegte persönliche Daten genutzt werden könnten.