Gyazo деректерінің жариялануы 23,6 млн пайдаланушы жазбасын және 490 млн кескін метадеректерін ашты
Материал бірнеше дереккөз негізінде жасанды интеллектпен дайындалды — түпнұсқаларға сілтемелер төменде.
Жапондық Helpfeel компаниясы Gyazo платформасындағы деректердің жариялануын растады, нәтижесінде 23,62 млн пайдаланушы жазбасы және 490 млн кескіннің метадеректері ашылды. Шабуылдаушылар 11 қыркүйекте жүктеу серверіндегі осалдықты пайдаланып, рұқсатсыз қол жеткізіп, ерікті командаларды орындады. Компания 12 қыркүйекте қол жеткізуді бұғаттап, 15 қыркүйекте Жапонияның жеке ақпаратты қорғау комиссиясына оқиға туралы хабарлады.
Негізгі фактілер
- Деректердің жариялануы нәтижесінде 23,62 млн пайдаланушы жазбасы ашылды, оның ішінде есімдер, электрондық пошта мекенжайлары, құпиясөз хэштері, пайдаланушы идентификаторлары, құрылғы идентификаторлары, кіру сессияларының идентификаторлары, X интеграция токендері, Google SSO электрондық пошта мекенжайлары, профиль ақпараты, тілдік қалаулар, тіркелу және кіру уақыт белгілері, тарифтік жоспарлар және төлем мәртебесі.
- Шамамен 490 млн кескін метадеректері жазбасы ашылды, олар негізінен 2019 жылдың қаңтарында немесе одан бұрын жүктелген кескіндерге қатысты, бұл платформадағы барлық кескін деректерінің шамамен 14,4%-ын құрайды.
- Қосымша 2,4 млн кескін арнайы сүзгілеу арқылы бөлек алынды; метадеректерге кескін идентификаторлары, жүктеу IP мекенжайлары, пайдаланушы агенттері, EXIF орналасу деректері, кескіндерден алынған OCR мәтіні, кескін атаулары, бастапқы URL мекенжайлары және жеке кескіндерге арналған хэштелген құпия сөз тіркестері кірді.
- Helpfeel несие карталарының нөмірлерін қоса алғанда, төлем ақпараты рұқсатсыз ашылмағанын растады.
- Компания 15 қыркүйекте Жапонияның жеке ақпаратты қорғау комиссиясына оқиға туралы хабарлады және зардап шеккен пайдаланушыларды электрондық пошта арқылы немесе анонимді аккаунттар үшін Gyazo веб-интерфейсі арқылы хабардар етуді жоспарлап отыр.
Анықтау және әрекет ету
Шабуылдаушы 11 қыркүйекте Gyazo кескін жүктеу серверіндегі осалдықты пайдаланып, рұқсатсыз қол жеткізіп, ерікті командаларды орындады. Күдікті белсенділік сол күні кешке анықталды, ал 12 қыркүйектің ерте таңында қол жеткізу жолдары бұғатталып, шабуылдаушының байланыстары үзілді. Helpfeel-дің кейінгі тергеуі үшінші тараптың Gyazo дерекқорына қол жеткізгенін және пайдаланушы ақпараты мен кескін метадеректері рұқсатсыз ашылғанын растады. Компания 15 қыркүйекте Жапонияның жеке ақпаратты қорғау комиссиясына оқиға туралы хабарлады. Helpfeel зардап шеккен пайдаланушыларды электрондық пошта арқылы, ал тіркелген электрондық пошта мекенжайы жоқ анонимді аккаунттар үшін Gyazo веб-интерфейсі арқылы хабардар етуді жоспарлап отыр.
Ашылған деректер және тәуекелдер
Ұрланған пайдаланушы жазбалары, шамамен 23,62 млн, есімдерді, электрондық пошта мекенжайларын, құпиясөз хэштерін, пайдаланушы идентификаторларын, құрылғы идентификаторларын, кіру сессияларының идентификаторларын, X интеграция токендерін, Google SSO электрондық пошта мекенжайларын, профиль ақпаратын, тілдік қалауларды, тіркелу және кіру уақыт белгілерін, тарифтік жоспарларды және төлем мәртебесін қамтиды. Кескін метадеректерінің ауқымы үлкенірек — шамамен 490 млн жазба, негізінен 2019 жылдың қаңтарында немесе одан бұрын жүктелген кескіндерге қатысты, бұл платформадағы барлық кескін деректерінің шамамен 14,4%-ын құрайды. Қосымша 2,4 млн кескін арнайы сүзгілеу арқылы бөлек алынды; метадеректерге кескін URL мекенжайларын құру үшін пайдаланылатын кескін идентификаторлары, жүктеу IP мекенжайлары, пайдаланушы агенттері, EXIF орналасу деректері, кескіндерден алынған OCR мәтіні, кескін атаулары, бастапқы URL мекенжайлары және жеке кескіндерді қорғайтын хэштелген құпия сөз тіркестері кірді. Helpfeel үшінші тараптың жеке кескіндерді анықтайтын тізімді алғанын растады және компания кейбір жеке кескіндердің үшінші тараппен қаралуы мүмкін екенін жоққа шығара алмайды. Зардап шеккен метадеректерге Gyazo кескін URL мекенжайларын құру үшін пайдаланылатын ақпарат кіреді, оны үшінші тарап рұқсатсыз қол жеткізу және тиісті кескіндерді қарау үшін пайдалануы мүмкін, бұл Helpfeel-ді кейбір кескіндерді қарауды уақытша өшіруге мәжбүр етті.
Пайдаланушылар мен қызметтерге әсері
Helpfeel тергеуі деректердің компанияның басқа екі қызметінен — Helpfeel және Cosense — алынғаны туралы белгілерді анықтаған жоқ. Осы құралдарға Gyazo арқылы ендірілген кейбір кескіндер қолжетімсіз болып қалуы мүмкін, себебі Gyazo оқиғаға жауап ретінде кескіндерді жеткізуді тоқтатты. Suzu Labs негізін қалаушы және бас директоры Майкл Белл оқиға әзірлеушілер мен олар жұмыс істеп жатқан жобалар үшін жаман жаңалық болуы мүмкін екенін мәлімдеді. Белл әзірлеушілердің Gyazo-ны терминал шығысын, API кілттерін, конфигурация файлдарындағы тіркелгі деректерін, ішкі қосымшалардың скриншоттарын және құпия құжаттарды бөлісу үшін үнемі пайдаланатынын, ал OCR функциясы осы мәтіннің барлығын алып, сақтағанын түсіндірді. Helpfeel барлық Gyazo пайдаланушыларынан құпиясөздерін өзгертуді сұрайды және бұл кеңесті сол немесе ұқсас құпиясөзі бар кез келген басқа аккаунттарға да таратады.
3 дереккөз
Уақыт · артта қалуы