Le service populaire de capture d’écran et d’images Gyazo, exploité par le développeur japonais Helpfeel, a confirmé une violation massive de données après qu’un adversaire ait compromis l’un de ses serveurs centraux de traitement d’images. Une activité non autorisée a été détectée le 11 septembre 2026, suite à des alertes indiquant l’exécution de scripts malveillants et des commandes anormales au niveau de l’application.
Une enquête forensique a révélé que les intrus avaient extrait une base de données contenant environ 23,62 millions d’enregistrements de comptes utilisateurs, incluant les adresses e-mail enregistrées, des hachages de mots de passe salés, ainsi que des identifiants de sessions internes. Les experts en cybersécurité soulignent que ces 23,62 millions d’enregistrements ne correspondent pas nécessairement à 23,62 millions d’individus uniques, car le jeu de données inclut des enregistrements hérités, des comptes de test et plusieurs entrées associées à des utilisateurs actifs.
Cependant, la dimension la plus sensible en termes de vie privée de cette faille concerne l’énorme réserve de métadonnées exposées. Les intrus ont acquis des archives de métadonnées détaillant environ 490 millions de captures d’écran et images téléchargées avant janvier 2019. Ces métadonnées incluent les adresses IP d’origine au moment du téléchargement, les horodatages précis, les données géographiques issues des balises EXIF (format standard de métadonnées des fichiers d’imagerie numérique), ainsi que des extraits de texte générés automatiquement par reconnaissance optique de caractères (OCR).
Étant donné que les ingénieurs logiciels, les employés d’entreprise et les techniciens en support informatique capturent fréquemment des écrans contenant des journaux d’erreurs, des interfaces de configuration et des tableaux de bord internes, l’exposition des textes analysés par OCR représente un risque secondaire sérieux. Des noms d’hôtes internes, des URL de pré-production privées et des jetons API embarqués pourraient ainsi être exposés aux adversaires. Helpfeel a isolé le serveur affecté, corrigé la vulnérabilité de téléchargement distant et lancé des campagnes de notification directe aux utilisateurs impactés.
**Recommandations pour les équipes IT et de cybersécurité**
- Changer immédiatement les identifiants : Tout utilisateur disposant d’un compte actif ou inactif sur Gyazo doit changer son mot de passe et vérifier que des mots de passe identiques ne sont pas partagés avec d’autres services d’entreprise.
- Audit des secrets exposés dans les artefacts visuels : Les équipes de sécurité des entreprises doivent déterminer si des développeurs ont partagé précédemment des captures d’écran d’environnements de production, en renouvelant tout jeton API, chaîne de connexion à la base de données ou jeton d’accès présent dans les téléchargements historiques.
- Analyser les logs d’ingress et d’egress : Les analystes SOC doivent examiner les logs des pare-feu et proxys corporatifs pour détecter des volumes anormaux de données sortantes dirigées vers les endpoints de stockage de Gyazo.
- Imposer l’authentification multifactorielle (MFA) : Mettre en place une MFA sur tous les services e-mail principaux liés à des outils tiers afin de limiter les attaques de vol de crédentiels en cascade.
**Statut des preuves**
- Confirmé : Helpfeel a publié un avis officiel confirmant l’accès non autorisé affectant 23,62 millions d’enregistrements et 490 millions d’entrées de métadonnées d’images.
- Rapporté : BleepingComputer et SecurityWeek ont vérifié la chronologie de l’incident et identifié le vecteur d’entrée initial comme une vulnérabilité non authentifiée de traitement de fichiers.
- Non confirmé : Il reste à déterminer si les acteurs malveillants ont effectivement archivé les fichiers bruts des images ou s’ils se sont limités à l’extraction des tables de métadonnées.
**En bref**
- Le fournisseur de captures d’écran Gyazo a subi une violation majeure de données, affectant 23,62 millions d’enregistrements dans la base de données.
- Les métadonnées associées à 490 millions d’images historiques (créées avant 2019) ont été exposées, incluant des textes OCR et des adresses IP.
- Les utilisateurs et entreprises sont urgemment invités à réinitialiser leurs identifiants et à inspecter les médias historiques pour détecter d’éventuels secrets d’accès accidentellement divulgués.