Для кого эта статья: для всех, кто пользовался Gyazo, и для тех, кто управляет функцией загрузки изображений или файлов. Статья основана на официальном уведомлении оператора и не содержит описания методов атак.
Что произошло (по данным Helpfeel)
16 сентября 2026 года компания Helpfeel Inc. объявила об утечке данных, вызванной несанкционированным доступом к её сервису обмена изображениями Gyazo. Всё, что написано ниже, взято из официального уведомления компании.
11 сент. 2026
Третья сторона использовала уязвимость в сервере загрузки изображений Gyazo и выполнила произвольные команды в системах компании. Подозрительная активность была обнаружена в тот же вечер, после чего начались расследование и реагирование.Раннее утро 12 сент.
Пути проникновения заблокированы, несанкционированные подключения третьей стороны прерваны.14 сент.
Утечка подтверждена, приняты превентивные меры.15 сент.
Приняты дополнительные меры против вторичного вреда. Возобновлена доставка изображений, загруженных после исправления. Сообщено в Комиссию по защите персональной информации (Personal Information Protection Commission).16 сент.
Опубликованы подтверждённые масштаб и последствия. Судебно-техническое расследование, проводимое внешним специалистом, продолжается.
- Записи пользователей, ~23,62 млн
- Отображаемое имя (любое имя или псевдоним), адрес электронной почты, хеш пароля, ID пользователя, ID устройства, ID сеанса входа, токен интеграции с X (Twitter) (если аккаунт привязан), адрес электронной почты Google SSO (если привязан), данные профиля, язык, даты регистрации и последнего входа, тариф, статус оплаты, статистика использования. Какие именно поля относятся к конкретному пользователю, различается
- Метаданные изображений
- ID изображения, IP-адрес загрузки, User-Agent, геопозиция EXIF, текст OCR с изображения, заголовок, исходный URL, хешированные парольные фразы для приватных изображений
- Сами изображения
- Потеря данных изображений не подтверждена. Однако компания «не может полностью исключить, что некоторые приватные изображения были просмотрены третьей стороной»
- Платёжные данные
- Номера карт и другие платёжные данные не утекли, подтверждает компания
- Данные аутентификации
- После анализа того, как работает каждый элемент и как его можно было бы использовать во вред, компания заявляет, что уже аннулировала или ограничила то, что было необходимо
- Причина
- Уязвимость в сервере загрузки изображений — теперь устранена, все пути, использованные при проникновении, заблокированы. Конкретная уязвимость не названа
Как это читать: 23,62 млн — это не число людей, а 490 млн — это не число изображений
Цифра около 23,62 млн включает анонимные аккаунты без зарегистрированного адреса электронной почты; компания говорит, что число людей, чьи персональные данные действительно утекли, всё ещё выясняется. Цифра около 490 млн относится к записям сведений об изображениях (метаданным), а не к файлам изображений.
Ни одна из этих цифр не означает «беспокоиться не о чем». Как показано в следующем разделе, содержимое этих метаданных — риск, который легко не заметить.
Что говорят сведения об изображении
Одно загруженное изображение
ID изображения / заголовок / исходный URL / User-Agent
Текст OCR
Слова с экрана — включая ключи и внутренние данные
Геопозиция EXIF
Где было сделано фото — возможно, ваш дом
IP при загрузке
Когда и с какого подключения вы загрузили файл
Исправляется сменой
- Ваш пароль Gyazo (его хеш утёк)
- Сеансы входа и токены интеграции (компания говорит, что аннулировала или ограничила их)
- Пароли, которые вы использовали повторно в других сервисах
Не исправляется, пока вы не сменили это в самом сервисе-источнике
- API-ключи, пароли, ссылки-приглашения, которые появлялись на скриншотах
- Данные клиентов или внутренние документы, которые появлялись на скриншотах
- Место, где было сделано фото (местоположение нельзя изменить)
Что пользователи должны сделать сегодня
Смените пароль Gyazo
Это первое требование компании. Утёк хеш, а не сам пароль, но метод хеширования не опубликован, и, как правило, короткие или распространённые пароли легче всего восстановить (как это работает: что такое хеширование паролей). Меняйте пароль, открыв Gyazo самостоятельно, а не перейдя по ссылке из письма.
Смените пароль во всех сервисах, где использовали тот же или похожий
Компания просит менять пароли в других сервисах, где вы использовали «такой же или похожий пароль». «Похожий» — важное уточнение: пароль, в котором изменены только последние цифры, считается тем же самым. Практичный способ найти такие сервисы — менеджер паролей.
Вспомните, не было ли на скриншоте секрета, и если было, отзовите его
Утекшие метаданные включают текст OCR, то есть слова, считанные с каждого изображения. Если вы когда-либо делились через Gyazo экраном разработки, панелью администратора, терминалом или файлом конфигурации, отзовите и перевыпустите в самом сервисе-источнике любой API-ключ, токен, пароль или ссылку-приглашение, которые на нём были видны. Метаданные описаны как относящиеся в основном к изображениям, загруженным до января 2019 года, но именно долгоживущие ключи чаще всего не менялись с тех пор. О том, как обращаться с секретами, рассказано в статьях что опасного в .env и API-ключах и случай, когда утёкший API-ключ привёл к большим счетам.
Проверьте, загружали ли вы фото с данными о местоположении, и начиная с этого момента удаляйте их
Геопозиция EXIF входит в список утекших данных. Фото, загруженные прямо с телефона, могли сохранить место съёмки. Местоположение изменить нельзя, поэтому можно изменить настройки на будущее: отключить отметку местоположения в камере или удалять местоположение перед отправкой (основы безопасности смартфона).
Если вы привязывали X или входили через Google, проверьте подключения
Токены интеграции с X (Twitter) и адреса электронной почты Google SSO входят в список данных. Компания говорит, что аннулировала или ограничила данные аутентификации, но всё же стоит самостоятельно открыть список подключённых приложений в X и удалить те подключения, которыми вы больше не пользуетесь.
Ожидайте поддельных писем
Адреса электронной почты входят в список утекших данных. После утечки обычно появляются письма «сбросьте пароль» от имени оператора. Не переходите по ссылке из них; откройте сервис самостоятельно (что такое фишинг).
Для тех, кто управляет функцией загрузки
Мнение этого сайта: инцидент заметили в тот же день, но старые данные всё равно хранились
С точки зрения защиты в этом случае есть одна вещь, которую стоит отметить, и одна, над которой стоит задуматься.
Отметить стоит скорость обнаружения. Проникновение произошло 11 сентября и было обнаружено в ту же ночь, заблокировано к раннему утру следующего дня, а о нём объявили через пять дней. Среди крупных японских случаев, раскрытых в том же году, время от проникновения до обнаружения составляло от 15 дней до примерно трёх лет (сравнение четырёх крупных японских утечек 2026 года). Даже если предотвратить проникновение невозможно, чем раньше его заметят, тем меньше ущерб.
Задуматься стоит о том, что утекшие метаданные были сосредоточены на изображениях «в основном до января 2019 года». Текст OCR, данные о местоположении и IP-адреса загрузки для изображений, загруженных много лет назад, всё ещё хранились на момент инцидента.
Хранение самих изображений может соответствовать ожиданиям пользователей от такого сервиса, но вопрос о том, нужно ли хранить сопутствующие данные (IP-адреса и местоположение) так же долго, — отдельный. Данные, которых у вас нет, не могут утечь, и именно сопутствующие данные легче всего сократить по срокам хранения.
Заявленная причина — выполнение произвольных команд через уязвимость в сервере загрузки изображений — относится к слабому месту, общему для всех сервисов, принимающих загрузки. Принцип проектирования, при котором часть, обрабатывающая полученные файлы, изолируется от основной системы и работает с минимальными привилегиями, описан в статье уязвимости при загрузке файлов; сам термин — в статье что такое RCE.
Источники
Приведённые выше факты взяты из следующих публичных материалов. Никаких предположений о неназванной уязвимости или деталях проникновения здесь нет.
- Helpfeel Inc., уведомление и извинения в связи с утечкой информации, вызванной несанкционированным доступом к Gyazo (опубликовано 16 сентября 2026 года, на японском языке) — corp.helpfeel.com
- Материалы ITmedia NEWS и Mado no Mori (16 сентября 2026 года) на основе указанного выше уведомления
Журнал обновлений
2026-09-19: первая версия на основе уведомления Helpfeel от 16 сентября. Судебно-техническое расследование компании продолжается, в том числе выясняется реальное число затронутых людей и возможность вторичного вреда; статья будет обновляться по мере публикации подробностей.
Читайте далее
- Крупные случаи того же года: сравнение утечек KDDI, Aflac, Digital Agency и Sakura Internet / утечка Times Car (изображения водительских удостоверений) / утечка данных участников SourceNext (22 519 960 записей)
- Пароли: выбор менеджера паролей / выбор многофакторной аутентификации
- Работа с секретами: что опасного в .env и API-ключах / случай утечки API-ключа
- Для операторов: уязвимости при загрузке файлов / что такое RCE