شرکت ژاپنی Helpfeel، توسعه‌دهنده سرویس اشتراک‌گذاری تصاویر Gyazo، از دسترسی غیرمجاز مهاجمان به سرورهای این پلتفرم خبر داد. این ابزار Cross-platform که برای ثبت اسکرین‌شات، GIF و ویدئوهای کوتاه استفاده می‌شود، هدف یک حمله سایبری قرار گرفته است که منجر به نشت حجم عظیمی از داده‌های کاربران شده است.
جزئیات فنی حمله و نحوه نفوذ
بر اساس گزارش منتشر شده، مهاجم در تاریخ ۱۱ سپتامبر از یک آسیب‌پذیری در سرور آپلود تصاویر (Image Upload Server) بهره‌برداری کرده است. این نقص امنیتی به مهاجم اجازه داد تا دستورات مخرب را روی سرور اجرا کند (Remote Code Execution). اگرچه تیم امنیتی توانستند در روز بعد دسترسی مهاجم را قطع کنند، اما در این بازه زمانی کوتاه، دیتابیس حاوی اطلاعات کاربران مورد دسترسی قرار گرفت.
دامنه داده‌های افشا شده
در این حادثه، تقریباً ۲۳.۶ میلیون رکورد کاربر به سرقت رفته است. اطلاعات به دست آمده شامل موارد زیر است:
- نام و آدرس ایمیل کاربران
- هش‌های رمز عبور (Password Hashes)
- شناسه‌های کاربر و دستگاه (User and Device IDs)
- توکن‌های یکپارچه‌سازی با شبکه X (توییتر سابق)
- اطلاعات پروفایل و آمار استفاده
- اطلاعات مربوط به صورت‌حساب‌ها (Billing Information)
لازم به ذکر است که طبق اعلام شرکت Helpfeel، اطلاعات کارت‌های بانکی و پرداخت کاربران در این نشت داده‌ها (Data Breach) آسیب ندیده‌اند.
تأثیر بر حریم خصوصی و متادیت تصاویر
علاوه بر اطلاعات کاربران، مهاجم به حدود ۴۹۰ میلیون رکورد متادیت (Metadata) تصاویر دسترسی پیدا کرده است. این متادیت‌ها می‌توانند به مهاجمان کمک کنند تا URLهای مرتبط با تصاویر آپلود شده توسط کاربران را بازسازی کرده و به محتوای آن‌ها دسترسی پیدا کنند. همچنین گزارش شده است که لیستی از تصاویر خصوصی (Private Images) نیز لو رفته است، هرچند حجم دقیق این مورد هنوز اعلام نشده است.
