La société japonaise Helpfeel a annoncé le 16 septembre une intrusion dans Gyazo, son service de capture d’écran et de partage d’images. L’attaquant a extrait environ 23,62 millions de fiches utilisateurs et les métadonnées d’environ 490 millions d’images. Les numéros de carte bancaire ne sont pas concernés.
Ce qui s’est passé
Le 11 septembre, un tiers a exploité une vulnérabilité du serveur d’upload d’images pour y exécuter des commandes arbitraires, puis a atteint la base de données de Gyazo. Helpfeel dit avoir bloqué les accès et corrigé la faille dès le lendemain. L’enquête se poursuit.
Chronologie
| Date | Événement |
|---|---|
| 11 sept. | Intrusion via le serveur d’upload ; activité suspecte repérée le soir |
| 12 sept. | Accès bloqués, connexions de l’attaquant coupées, faille corrigée |
| 14 sept. | Fuite confirmée ; diffusion d’une partie des images suspendue |
| 15 sept. | Diffusion rétablie pour les images envoyées après le correctif ; signalement à l’autorité japonaise de protection des données |
| 16 sept. | Annonce publique |
Quelles données ont fuité
Fiches utilisateurs (environ 23,62 millions) :
- nom ou pseudo, adresse email, hachage du mot de passe ;
- identifiants utilisateur et d’appareil, identifiants de session ;
- jetons d’intégration X (ex-Twitter) et email du compte Google pour les connexions SSO, le cas échéant ;
- profil, langue, dates d’inscription et de dernière connexion, formule, statut de facturation et statistiques d’usage.
Le chiffre inclut des comptes anonymes : le nombre réel de personnes touchées n’est pas encore connu.
Métadonnées d’images (environ 490 millions), surtout pour des images envoyées jusqu’en janvier 2019, soit environ 14,4 % du total, plus 2,4 millions d’autres extraites avec des filtres précis :
- identifiant de l’image, adresse IP et User-Agent de l’envoi ;
- données de localisation Exif lorsqu’elles existent ;
- texte extrait par OCR, titre, URL source ;
- hachage de la phrase secrète des images privées, et liste des images privées.
Ces métadonnées contiennent des informations utilisées dans les URL des images. Helpfeel reconnaît que l’attaquant a pu consulter des images grâce à elles, et cherche encore à savoir si des images privées ont été vues. C’est pour cela qu’une partie des images n’est plus affichable pour l’instant.
Une capture d’écran contient souvent bien plus qu’on ne le pense : messages, tableaux internes, jetons, adresses. Le texte OCR des images fait partie des métadonnées volées : si vous avez partagé des captures sensibles sur Gyazo, considérez leur contenu comme potentiellement exposé.
Que faire si vous utilisez Gyazo
- Changez votre mot de passe Gyazo, et partout où vous l’aviez réutilisé : un hachage peut être cassé si le mot de passe est faible.
- Si vous aviez relié Gyazo à X ou à Google, vérifiez les applications autorisées sur ces comptes et révoquez l’accès en cas de doute.
- Si une capture contenait un secret (clé d’API, jeton, mot de passe), changez ce secret.
- Méfiez-vous des emails liés à l’incident : Helpfeel prévient les utilisateurs par email, ou via l’interface web pour les comptes sans adresse.
Helpfeel indique que ses autres services, Helpfeel et Cosense, reposent sur une architecture distincte et qu’aucune fuite n’y a été constatée à ce stade.