Gyazoのデータ侵害で2,300万件のユーザーレコードが流出

日本のソフトウェア企業Helpfeelは、画像共有サービス「Gyazo」のユーザーに対し、ハッカーが自社の情報にアクセスしたことを通知しています。

Gyazoは、スクリーンショットやGIF、短い画面録画をキャプチャし、瞬時に共有可能なリンクを生成できる、広く利用されているクロスプラットフォームツールです。

Helpfeelは今週、Gyazoのサーバーへの不正アクセスを最近検知したことを明らかにしました。攻撃者は9月11日、画像アップロードサーバーの脆弱性を悪用し、悪意のあるコマンドを実行できる状態にしていました。

攻撃者は翌日にはシステムから排除されましたが、それまでの間に、およそ2,360万件のユーザーレコードを保存するデータベースにアクセスされていました。

流出したGyazoのユーザー情報には、氏名、メールアドレス、パスワードハッシュ、ユーザーIDおよびデバイスID、X連携トークン、プロフィール情報、利用統計、請求情報が含まれます。

同社によると、支払いカード情報は流出していないとのことです。

Helpfeelは次のように述べています。「影響を受けた約2,362万件のレコードには、メールアドレスなどの登録情報を持たない匿名アカウントのレコードも含まれています。不正に開示された個人情報の対象者の実数については、現在も調査を継続しています」

ユーザーレコードに加え、攻撃者はおよそ4億9,000万件の画像メタデータレコードにもアクセスしていました。このメタデータには、脅威アクターがユーザーによってアップロードされた画像に関連するURLを再構築し、アクセスできてしまう可能性のある情報が含まれています。

非公開画像のリストも流出していますが、同社はその件数について情報を公表していません。