Gyazo потерял контроль
Следите за новостями по этой теме!
Подписаться на «Рифы и пачки / Твоя культура»
Сервис обмена изображениями Gyazo оказался в центре крупной утечки данных. Его оператор, японская компания Helpfeel, сообщил о кибератаке, в результате которой злоумышленники получили доступ к 23,62 млн пользовательских записей и примерно к 490 млн записей с метаданными изображений.
Helpfeel работает в сфере клиентской поддержки и корпоративных баз знаний. Компания объединяет справочный центр, интеллектуальный поиск и ИИ-агента поддержки; в ее экосистему входит Gyazo — сервис для загрузки и обмена изображениями. В организации работают более 200 сотрудников.
Атака произошла 11 сентября. Неизвестный злоумышленник воспользовался уязвимостью, загрузил на серверы вредоносную программу, получил доступ к инфраструктуре и смог выполнять на ней произвольные команды. Иными словами, сервер перестал быть охраняемым помещением и временно превратился в компьютер злоумышленника.
Расследование показало, что скомпрометированы 23,62 млн записей. Это не означает, что пострадали 23,62 млн человек: несколько записей могли относиться к одному пользователю, а часть данных создавали клиенты без учетных записей. Поэтому точное число затронутых людей пока неизвестно и, по оценке компании, точно меньше 23,6 млн.
В утечке могли оказаться имена, адреса электронной почты, хеши паролей, идентификаторы пользователей и устройств, идентификаторы сессий входа, токены интеграции с X, адреса, связанные с авторизацией через Google SSO, сведения профиля, языковые настройки, даты и время регистрации и входов, тарифный план, статус оплаты и статистика использования. Номера банковских карт и другие платежные данные, по заявлению Helpfeel, раскрыты не были.
Отдельный масштаб проблемы связан с изображениями. Были скомпрометированы около 490 млн записей, связанных с изображениями, зарегистрированными в январе 2019 года или раньше. В них содержались идентификаторы изображений, IP-адреса, с которых выполнялась загрузка, данные user-agent, геолокация из EXIF, распознанный на картинках текст, названия изображений, исходные URL и хешированные кодовые фразы для приватных изображений.
Часть этих метаданных используется при формировании адресов изображений. Поэтому Helpfeel не исключает, что атакующие могли просматривать и сами файлы, а не только служебные сведения о них. Компания временно отключила просмотр некоторых изображений, чтобы снизить риск дальнейшего вреда, и продолжает расследование. Возможность просмотра отдельных приватных изображений третьей стороной пока остается не исключенной.
Информация об атаке была опубликована в уведомлении о компрометации данных. Ранее о происшествии сообщало издание The Hacker News.
PEREC.RU
История с Gyazo — это не просто очередная утечка, где в пресс-релизе бодро перечисляют миллионы записей, а пользователю предлагают сделать вид, будто цифры сами по себе ничего не значат. Японская компания Helpfeel, владеющая сервисом обмена изображениями, признала кибератаку после того, как неизвестный злоумышленник 11 сентября воспользовался уязвимостью, загрузил вредоносную программу на серверы и получил возможность выполнять произвольные команды.
Результат оказался внушительным даже по меркам отрасли, привыкшей измерять чужие неприятности в миллионах. Компрометированы 23,62 млн пользовательских записей. Правда, это не 23,62 млн отдельных людей: один пользователь мог оставить несколько записей, а часть данных создавали клиенты без учетных записей. Точное число пострадавших пока не определено, но оно точно меньше 23,6 млн — арифметика здесь остается последним островком порядка.
Под угрозой оказались имена, адреса электронной почты, хеши паролей, идентификаторы пользователей и устройств, идентификаторы сессий входа, токены интеграции с X, сведения, связанные с Google SSO, данные профиля, языковые предпочтения, даты регистрации и входов, информация о тарифе, статус оплаты и статистика использования. Helpfeel отдельно заявила, что номера банковских карт и другие платежные сведения не были раскрыты.
Однако главным сюрпризом стали не только пользовательские данные. Атакующие получили доступ примерно к 490 млн записей, связанных с изображениями, загруженными в январе 2019 года или раньше. В метаданных содержались идентификаторы изображений, IP-адреса загрузки, данные user-agent, геолокация из EXIF, текст, распознанный на картинках, названия, исходные URL и хешированные кодовые фразы для приватных изображений.
Проблема в том, что часть метаданных участвует в формировании адресов файлов. Поэтому компания не может исключить, что злоумышленники просматривали сами изображения, включая приватные. Helpfeel временно отключила просмотр некоторых файлов, чтобы предотвратить дальнейший ущерб, и продолжает расследование.
Компания работает в области клиентской поддержки и баз знаний, а также развивает интеллектуальный поиск и ИИ-агента. В Helpfeel трудятся более 200 сотрудников. О взломе сообщили в уведомлении о компрометации данных; информацию также опубликовало The Hacker News.
В сухом остатке: платежные данные, по официальной версии, уцелели, зато под угрозой оказались учетные данные, технические идентификаторы и огромный массив сведений об изображениях. Цифровая гигиена снова проиграла, а серверы снова узнали, что пароль и надежда на «нас не взломают» — не одно и то же.
