Утечка данных в сервисе обмена изображениями Gyazo, принадлежащем Helpfeel, затронула около 23,62 миллиона пользовательских записей, включая адреса электронной почты и хэши паролей, сообщила компания из Киото в уведомлении, опубликованном в среду. Также были раскрыты метаданные примерно 490 миллионов изображений, в основном относящихся к снимкам, сделанным в январе 2019 года или ранее. Эти метаданные включали идентификаторы, которые формируют ссылки на изображения Gyazo.
Helpfeel заявила, что эти идентификаторы могут быть использованы для просмотра изображений без разрешения, и временно отключила доступ к некоторым из них. Компания призвала всех пользователей Gyazo сменить пароль, а также пароли на других сервисах, где используется тот же или похожий пароль. Пользователей также попросили проявлять бдительность в отношении подозрительных электронных писем или сообщений, связанных с инцидентом.
По данным компании, злоумышленник получил доступ через уязвимость на сервере загрузки изображений Gyazo, смог выполнять произвольные команды в системах Helpfeel и получил доступ к базе данных Gyazo. Тип уязвимости не уточняется.
Helpfeel заверила, что платежная информация, включая номера кредитных карт, не была скомпрометирована. Раскрытые пользовательские записи могут содержать следующие данные, причем набор полей варьируется от пользователя к пользователю:
Цифра в 23,62 миллиона относится к количеству записей. Helpfeel уточнила, что в это число входят анонимные учетные записи без зарегистрированного адреса электронной почты, и компания продолжает выяснять, сколько именно людей пострадало от утечки персональных данных.
Helpfeel сообщила, что провела проверку раскрытых данных аутентификации и приняла «необходимые меры, включая аннулирование и ограничения». Какие именно данные были аннулированы, не уточняется.
Обычно Gyazo отправляет код подтверждения по электронной почте при входе с нового IP-адреса. Helpfeel не сообщила, остаются ли раскрытые идентификаторы сеансов действительными.
Каждый снимок Gyazo получает ссылку, состоящую из 32-символьного идентификатора изображения. На страницах справки Gyazo указано, что снимок остается приватным до тех пор, пока его ссылка не будет передана, и что любой, у кого есть ссылка, может его просмотреть. Утверждается, что идентификатор достаточно длинный, чтобы ссылку «невозможно было угадать». Для снимка с настройками по умолчанию ссылка является единственным средством защиты, и раскрытые идентификаторы изображений — это та часть ссылки, которая делает ее непредсказуемой.
Бесплатные учетные записи позволяют просматривать только 10 последних снимков на сайте Gyazo, однако Gyazo утверждает, что более старые снимки не удаляются и остаются доступными любому, у кого есть URL.
Затронутые метаданные относятся в основном к изображениям, зарегистрированным в январе 2019 года или ранее, и составляют около 14,4% данных, связанных с изображениями Helpfeel.
Метаданные еще 2,4 миллиона изображений были извлечены отдельно с использованием того, что Helpfeel назвала «специфическими критериями фильтрации». Компания не уточнила, что это был за фильтр, пересекаются ли эти два набора данных и включает ли второй набор более новые изображения.
Helpfeel перечислила следующие поля, а также другую связанную информацию:
Helpfeel заявила, что временно отключила просмотр некоторых изображений для предотвращения дальнейшего ущерба и что ее расследование не выявило потери каких-либо данных изображений. Компания не уточнила, какие именно изображения были отключены и как пользователь может узнать, попали ли его снимки в затронутые наборы.
Злоумышленник также получил список, идентифицирующий приватные изображения, сообщила Helpfeel, и компания заявила, что «не может исключить возможность того, что третья сторона могла просмотреть некоторые приватные изображения».
В Gyazo приватный снимок может означать снимок, установленный в режим «Только я», который, согласно справочным страницам, не может быть просмотрен даже тем, кто знает ссылку, или снимок, защищенный паролем. Обе настройки доступны только в платных тарифных планах, и Helpfeel не уточнила, о каком режиме идет речь, или как такие изображения могли быть просмотрены.
Поле текста OCR (оптического распознавания символов) является частью функции Gyazo, которая считывает текст на снимках пользователя, позволяя осуществлять поиск по нему. На страницах справки Gyazo описывается как платная функция, которую пользователи включают самостоятельно и которая затем сканирует все изображения в учетной записи. На тех же страницах говорится: «Только вы можете видеть результаты OCR».
Helpfeel сообщила, что заметила подозрительную активность вечером 11 сентября по японскому времени. К ранним чам 12 сентября были заблокированы выявленные пути доступа, прерваны соединения злоумышленника и устранены уязвимости в тот же день.
Пока изображения не загружались, публичные уведомления Gyazo для пользователей называли это техническим обслуживанием и не упоминали утечку данных. Когда Helpfeel приостановила доставку изображений 14 сентября, на странице обновлений продукта Gyazo было указано, что доставка некоторых изображений приостановлена «в связи с экстренным техническим обслуживанием». После возобновления доставки новых загрузок 15 сентября во втором уведомлении говорилось: «Некоторые изображения остаются недоступными из-за экстренного технического обслуживания».
Helpfeel подтвердила 14 сентября, что данные были раскрыты, сообщила об инциденте в Комиссию по защите персональной информации Японии 15 сентября и опубликовала свое уведомление 16 сентября.
Внешние специалисты проводят криминалистическое расследование, сообщила Helpfeel, и компания отправит электронные письма пользователям, которых идентифицирует как пострадавших, а также разместит уведомления на веб-сайте Gyazo для анонимных учетных записей. По вопросам, связанным с инцидентом, можно обращаться через форму поддержки Gyazo.
Другие продукты Helpfeel, Helpfeel и Cosense, работают на отдельных системах, и компания заявила, что не обнаружила утечек данных из них, хотя изображения Gyazo, отображаемые в них, могут не загружаться во время приостановки доставки изображений.
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Swati Khandelwal
