Засветили

Японский сервис скриншотов Gyazo признал, что у него утекли 23,62 млн записей о пользователях и метаданные примерно 490 млн картинок.

Атакующий использовал уязвимость в сервере загрузки изображений и выполнил на нём произвольные команды ещё 11 сентября.

Из пользовательской базы утекли имена, e-mail, хэши паролей, ID устройств и сессий, токены интеграции с X, почта от входа через Google, тариф подписки и статус оплаты.

Метаданные картинок бескомпромиссные. В них IP-адреса, с которых загружали снимки, User-Agent, геолокация из EXIF, распознанный OCR текст со скриншотов и хэши паролей к приватным изображениям.

А также ID картинок, из которых собирается их URL. Как сообщили СМИ, приватные снимки не защищало ничего, кроме этой длинной ссылки. Поэтому компании пришлось временно отключить показ части изображений, а сам Gyazo до сих пор на «техобслуживании».

НеКасперский