Пробив в сигурността на Gyazo, услугата за споделяне на изображения на Helpfeel, е разкрил около 23,62 милиона потребителски записа, включително имейл адреси и хешове на пароли, съобщи базираната в Киото компания в известие, публикувано в сряда.

Компрометирани са и около 490 милиона записа с метаданни на изображения, предимно за изображения от януари 2019 г. или по-рано, включително идентификаторите, съставящи връзките към изображенията в Gyazo.

От Helpfeel заявиха, че тези идентификатори биха могли да се използват за преглеждане на изображенията без разрешение и че компанията временно е деактивирала визуализацията на част от тях.

Helpfeel призова всеки потребител на Gyazo да смени паролата си, както и да я промени във всяка друга услуга, където използва същата или подобна. Компанията също така препоръча на потребителите да внимават за съмнителни имейли или съобщения, свързани с инцидента.

Атакуващият е получил достъп чрез уязвимост в сървъра за качване на изображения на Gyazo, изпълнил е произволни команди в системите на Helpfeel и е осъществил достъп до базата данни на Gyazo, съобщиха от компанията. Оттам не уточняват какво е било естеството на уязвимостта.

От Helpfeel посочиха, че не е изтекла финансова информация, включително номера на кредитни карти. Изложените потребителски записи могат да включват следните данни, като наличните полета варират при отделните потребители:

  • Име (всеки текст, въведен от потребителя, като име или псевдоним)
  • Имейл адрес
  • Хеш на парола
  • Потребителски идентификатор (User ID)
  • Идентификатор на устройството (Device ID)
  • Идентификатор на сесията за вход (Login session ID)
  • Токен за интеграция с X (преди Twitter), ако профилът е бил свързан
  • Имейл адрес, използван за вход чрез Google SSO (Single Sign-On), ако е свързан
  • Информация за профила
  • Езикови предпочитания
  • Дата и час на регистрация
  • Дата и час на последен вход
  • Абонаментен план
  • Статус на плащане (без номера на кредитни карти или други данни за плащане)
  • Статистика за използване

Числото 23,62 милиона отразява броя записи. От Helpfeel уточняват, че сред тях има и анонимни акаунти без регистриран имейл адрес и че все още се изяснява точният брой засегнати лица, чиито лични данни са компрометирани.

От Helpfeel заявиха, че са прегледали изложените данни за автентикация и са предприели „необходимите мерки, включително анулиране и ограничения“. Не бе уточнено кои конкретни елементи са били анулирани.

Обикновено Gyazo изпраща код за потвърждение по имейл, когато се извършва вход от нов IP адрес — проверка, която се изпълнява при вход. От Helpfeel не са съобщили дали изложените идентификатори на сесии остават валидни.

Всяка екранна снимка или заснемане в Gyazo получава връзка, генерирана от 32-знаков идентификатор на изображение. Страниците за помощ на Gyazo посочват, че заснетото съдържание остава поверително, докато връзката към него не бъде споделена, че всеки с връзката може да го види и че идентификаторът е достатъчно дълъг, така че връзката „не може да бъде отгатната“. При стандартни настройки връзката е единствената защита, а изтеклите идентификатори са именно частта от адреса, която го прави неподлежащ на отгатване.

Безплатните акаунти могат да разглеждат само последните си 10 заснети изображения на уебсайта на Gyazo, но от компанията посочват, че по-старите качвания не се изтриват и остават достъпни за всеки, който разполага с URL адреса.

Засегнатите записи с метаданни са основно за изображения, регистрирани през януари 2019 г. или по-рано, и съставляват около 14,4% от данните, свързани с изображения в Helpfeel, съобщиха от компанията.

Метаданните за още 2,4 милиона изображения са били извлечени отделно чрез използване на това, което Helpfeel нарича „специфични критерии за филтриране“. Не се съобщава какъв е бил филтърът, дали двете групи съвпадат частично, или втората съдържа по-нови изображения.

Helpfeel изброи следните полета заедно с друга свързана информация:

  • Идентификатор на изображението (Image ID) — информацията, използвана за изграждане на URL адреса
  • IP адрес, използван за качването
  • User-Agent низ
  • EXIF данни за местоположение, ако изображението е съдържало такива
  • OCR текст, извлечен от изображението чрез оптично разпознаване на символи
  • Заглавие на изображението
  • Изходен URL адрес и други метаданни
  • Хеширана парола за поверителни изображения

От Helpfeel заявиха, че временно са деактивирали визуализацията на някои изображения с цел предотвратяване на по-нататъшни щети, като разследването не е установило загуба на файлове с изображения. Не се съобщава кои изображения са спрени, нито как потребителите могат да разберат дали техните файлове попадат в засегнатите масиви.

Атакуващият е придобил и списък, идентифициращ поверителни изображения, като от компанията заявяват, че „не могат да изключат възможността третата страна да е прегледала някои лични изображения“.

В Gyazo поверително изображение може да означава такова, настроено като „Само аз“ (което според помощните страници не може да бъде отворено дори от човек, знаещ връзката), или заключено с парола. И двете опции са достъпни само при платените планове, а Helpfeel не уточнява коя от двете е компрометирана или как тези изображения биха могли да бъдат видени.

Полето за OCR текст произлиза от функционалност на Gyazo, която разчита текста в екранните снимки на потребителя, за да позволява търсене в тях. Помощните страници на услугата описват това като платена функция, която потребителите активират сами и която сканира всички изображения в профила. На същите страници се посочва, че „Само вие можете да виждате резултатите от OCR“.

От Helpfeel обявиха, че са забелязали подозрителна активност вечерта на 11 септември по японско време. До ранните часове на 12 септември компанията е блокирала установените маршрути за достъп, прекъснала е връзките на атакуващия и е отстранила уязвимостта още същия ден.

Докато изображенията не успяваха да се заредят, публичните съобщения на Gyazo към потребителите го определяха като техническа профилактика и не споменаваха пробива. Когато Helpfeel спря доставянето на изображения на 14 септември, страницата с новини за продуктите на Gyazo посочи, че визуализацията на част от съдържанието е спряна „поради спешна поддръжка“. След като качването и зареждането на нови файлове бе възобновено на 15 септември, второ съобщение гласеше: „Някои изображения остават недостъпни поради спешна поддръжка“.

От Helpfeel заявиха, че са потвърдили компрометирането на данни на 14 септември, докладвали са инцидента на японската Комисия за защита на личните данни на 15 септември и са публикували официалното известие на 16 септември.

Външни специалисти провеждат форензик разследване, като Helpfeel ще изпрати имейли на засегнатите потребители, а за анонимните акаунти ще публикува съобщения на сайта на Gyazo. Въпроси относно инцидента се приемат чрез формата за поддръжка на Gyazo.

Останалите продукти на компанията — Helpfeel и Cosense — работят на отделни системи и при тях не е открито изтичане на данни, въпреки че вградените в тях Gyazo изображения може да не се зареждат, докато услугата за доставка на медия е спряна.