La plateforme de partage d’images Gyazo indique qu’une vulnérabilité de serveur a été exploitée lors d’un incident ayant exposé des informations associées à environ 23,62 millions d’enregistrements d’utilisateurs. L’entreprise a détecté une activité suspecte le 12 septembre, un jour après l’intrusion signalée, et a temporairement suspendu le service pendant qu’elle mène son enquête et effectue des opérations de maintenance.
Gyazo, exploité par Helpfeel, permet aux utilisateurs de téléverser des captures d’écran et des enregistrements d’écran afin de générer des liens partageables. L’entreprise affirme compter plus de 23 millions d’utilisateurs et héberger des milliards d’éléments multimédias.
Informations potentiellement exposées
Selon Gyazo, les données concernées varient selon l’utilisateur. Les informations de compte exposées peuvent inclure des noms ou pseudonymes, des adresses e-mail, des hachages de mots de passe, des identifiants de compte et d’appareil, des identifiants de session de connexion, des données de profil, des informations sur les abonnements et le statut de facturation, des données d’utilisation, des adresses e-mail utilisées pour l’authentification unique Google et des jetons liés aux intégrations X.
L’entreprise a également indiqué qu’environ 490 millions d’enregistrements de métadonnées d’images pourraient avoir été consultés. La plupart de ces enregistrements concerneraient des images téléversées avant janvier 2019. Les métadonnées peuvent inclure des identifiants d’image, des adresses IP de téléversement, des informations sur l’agent utilisateur du navigateur, des titres d’image, des URL sources, du texte extrait par OCR, des détails de localisation EXIF et des phrases secrètes hachées pour les images privées.
Impact potentiel et réponse
Gyazo a averti que les identifiants d’image pourraient potentiellement être utilisés pour accéder au contenu associé. Par mesure de précaution, l’entreprise a désactivé l’accès aux fichiers liés aux enregistrements exposés. Les attaquants ont également obtenu une liste identifiant les images privées, et l’entreprise a indiqué qu’elle ne pouvait exclure la possibilité que certains contenus privés aient été consultés.
L’entreprise a déclaré avoir corrigé la vulnérabilité exploitée lors de l’attaque et n’avoir trouvé aucun signe de suppression de données. Elle a également précisé que son enquête n’avait mis au jour aucun élément indiquant que d’autres services de Helpfeel ou de Cosense avaient été affectés. Gyazo travaille avec des spécialistes externes, a contacté les autorités compétentes et informe directement les utilisateurs concernés.
- Les utilisateurs de Gyazo devraient réinitialiser leur mot de passe du service.
- Toute personne ayant réutilisé ce mot de passe ailleurs devrait également le modifier sur ces services.
- Les utilisateurs doivent rester vigilants face aux e-mails d’hameçonnage ou à d’autres messages suspects susceptibles d’exploiter les informations personnelles exposées.