Утечка, затронувшая миллионы скриншотов
Если вы когда-либо использовали Gyazo, чтобы быстро сделать скриншот и поделиться им по ссылке, вы, вероятно, пострадали от утечки данных Gyazo, о которой стало известно в сентябре 2026 года. Инцидент, подтверждённый материнской компанией Helpfeel, раскрыл 23,62 миллиона пользовательских записей, а также примерно 490 миллионов записей метаданных изображений. Эти метаданные — не просто фоновый шум: они включают идентификаторы, используемые для построения ссылок, указывающих на ваши загруженные изображения, а значит, у злоумышленников могла оказаться карта огромного объёма опубликованного контента.
Утечка была связана с уязвимостью в сервере загрузки изображений Gyazo, которая дала несанкционированной стороне доступ к системам, которые никогда не должны были быть доступны извне. Для такого широко используемого инструмента, как Gyazo, особенно среди разработчиков, служб поддержки и обычных пользователей, которые делают скриншоты всего — от сообщений об ошибках до личных документов, — это тот тип утечки, который может иметь последствия далеко за пределами самой платформы. В нашей предыдущей публикации об утечке данных Gyazo, раскрывшей 23,6 миллиона пользовательских записей, подробно описан масштаб инцидента, когда он только стал известен.
Почему сроки важны не меньше цифр
Одна деталь, которая заслуживает большего внимания, чем ей уделили: Helpfeel не раскрыла утечку немедленно. Согласно репортажу о пятидневной задержке в раскрытии информации Helpfeel, компания держала информацию в тайне несколько дней, прежде чем сообщить общественности. В реагировании на утечки каждый день молчания — это день, когда злоумышленники могут действовать на основе украденных данных, прежде чем кто-либо узнает о необходимости защитить себя.
Это важно по очень практичной причине. Если учётные данные, токены или ссылки на изображения были собраны в течение окна утечки, задержка с раскрытием даёт злоумышленникам фору. Это не обязательно свидетельство недобросовестности — расследование утечек требует времени для определения масштаба, — но это напоминание о том, что пользователям не стоит ждать официальных сроков компании, чтобы начать защищать свои аккаунты. Если вы используете Gyazo или любой сервис, связанный с ним через единый вход или доступ к API, самое безопасное предположение — что ваши данные могли быть раскрыты с момента активности уязвимости сервера, а не только с момента публичного объявления.
Что это значит для вас
Практический риск от этой утечки делится на две категории: захват аккаунта и раскрытие изображений.
Что касается захвата аккаунта, concern в том, что раскрытые пользовательские записи, потенциально включающие электронные адреса, имена пользователей или идентификаторы аккаунтов, могли быть использованы в фишинговых попытках или атаках с подстановкой учётных данных против Gyazo или других сервисов, где вы повторно использовали пароль. Если вы когда-либо использовали свой пароль от Gyazo где-либо ещё, этот пароль теперь следует считать скомпрометированным.
Что касается раскрытия изображений, утечка метаданных — более необычная часть этой истории. Поскольку ссылки на изображения Gyazo часто строятся из предсказуемых или раскрытых идентификаторов, утёкшие метаданные теоретически могли облегчить кому-либо поиск изображений, которые никогда не предназначались для широкого распространения: скриншотов личных сообщений, внутренних данных компании или личной информации, запечатлённой при быстром снимке экрана. Поскольку ссылки Gyazo часто являются скрытыми, а не полностью приватными, к этому стоит отнестись серьёзно, даже если вы не помните, что делились чем-то чувствительным.
Шаги, которые нужно предпринять прямо сейчас
Начните с самого аккаунта Gyazo. Немедленно смените пароль Gyazo и убедитесь, что новый не используется повторно где-либо ещё. Если Gyazo предлагает двухфакторную аутентификацию, включите её.
Затем отзовите любые API-токены или подключения сторонних приложений, связанные с вашим аккаунтом Gyazo. Если вы интегрировали Gyazo с браузерными расширениями, чат-инструментами или скриптами автоматизации, эти токены доступа могут стать ещё одной точкой входа, если оставить их активными.
Проверьте, не использовали ли вы пароль от Gyazo повторно на других платформах, и если да, обновите и эти аккаунты тоже. Менеджер паролей делает это гораздо менее болезненным в будущем.
Просмотрите историю загрузок Gyazo, если платформа это позволяет, и удалите любые скриншоты, содержащие чувствительную информацию, финансовые данные, личные переписки, учётные данные или что-либо, что вы не хотели бы видеть в индексе поисковых систем или в открытом доступе. Даже если раскрытые метаданные не раскрывают содержимое изображений напрямую, сокращение количества ваших чувствительных загрузок — разумная мера предосторожности.
Наконец, следите за фишинговыми письмами, ссылающимися на Gyazo или выдающими себя за Helpfeel. Раскрытие утечек часто вызывает волну мошеннических сообщений, замаскированных под официальную последующую коммуникацию.
Двигаясь вперёд после утечки данных Gyazo
Утечка данных Gyazo — полезное напоминание о том, что даже простые повседневные инструменты — приложения для скриншотов, программы для заметок, ссылки для обмена файлами — могут стать значительными угрозами для приватности, когда что-то идёт не так на стороне сервера. Вы не контролируете, как компания защищает свои серверы, но вы контролируете гигиену своих паролей, разрешения аккаунтов и объём чувствительных материалов, которые вы загружаете в тот или иной сервис.
Если вы используете Gyazo, воспринимайте это как повод действовать сегодня, а не ждать дальнейших обновлений. Смените пароль, отзовите неиспользуемые токены, проверьте, чем вы делились, и будьте начеку в отношении последующих фишинговых попыток. Небольшие шаги, предпринятые сейчас, во многом помогают ограничить ущерб от утечки, которую вы не могли предотвратить в одиночку.
