Gyazo-Datenpanne legt 23,6 Millionen Nutzerdatensätze offen

Der Gyazo-Datenpanne wurde von Helpfeel, dem Unternehmen hinter der Screenshot- und Bildfreigabeplattform, bestätigt, nachdem Angreifer eine Serverschwachstelle ausnutzten, um auf die Datenbank zuzugreifen und etwa 23,62 Millionen Nutzerdatensätze zu entwenden. BleepingComputer berichtete am 18. September 2026 über den Vorfall, und die eigenen Erklärungen des Unternehmens besagen, dass der Eindringling am 11. September 2026 stattfand.

Gyazo ist ein cloudbasiertes Screenshot- und Bildschirmaufzeichnungstool. Es lädt die Bildschirmaufnahmen eines Nutzers automatisch in die Cloud hoch und erstellt einen teilbaren Link, der in Chats, Foren oder sozialen Medien gepostet werden kann. Der Dienst ist besonders in Gaming-Communities beliebt und gibt an, 23 Millionen Nutzer weltweit zu haben, die zusammen 3,1 Milliarden Medienobjekte eingereicht haben.

Laut dem Unternehmen wurden am 12. September verdächtige Aktivitäten entdeckt, und eine von den Angreifern genutzte Schwachstelle wurde zu diesem Zeitpunkt behoben, aber zu diesem Zeitpunkt waren die Daten bereits entwendet worden. Gyazo hat die Plattform seitdem wegen Wartung offline genommen und bezeichnet die Abschaltung als vorbeugende Maßnahme. In einem Beitrag auf X schrieb das Unternehmen: „Derzeit ist der Gyazo-Dienst vorübergehend wegen Wartung als vorbeugende Maßnahme ausgesetzt. Wir entschuldigen uns aufrichtig für etwaige Unannehmlichkeiten. Bitte warten Sie noch ein wenig, bis die Wiederherstellung erfolgt ist.“

Gyazo gab an, dass seine Untersuchung bestätigt hat, dass ein Dritter auf seine Datenbank zugegriffen hat und dass Nutzerinformationen und Metadaten, die mit hochgeladenen Bildern verknüpft sind, ohne Genehmigung offengelegt wurden. Die exponierten Daten unterscheiden sich von Nutzer zu Nutzer und können eines oder mehrere der folgenden Elemente enthalten: Namen oder Spitznamen, E-Mail-Adressen, Passwort-Hashes, Nutzer- und Gerätekennungen, Login-Sitzungskennungen, X-Integrationstoken, Google-Single-Sign-On-(SSO)-E-Mail-Adressen, Profildetails, Abonnementinformationen, Abrechnungsstatus und Nutzungsstatistiken. Ein Passwort-Hash ist eine verschlüsselte Form eines Passworts, die nicht direkt gelesen werden kann, aber dennoch von einem Computer angegriffen werden kann, bis das ursprüngliche Passwort erraten wird. Ein Token, wie das X-Integrationstoken, ist ein digitaler Schlüssel, der Zugriff auf ein verknüpftes Konto ermöglichen kann, während eine Sitzungskennung es jemandem ermöglichen kann, eine bereits angemeldete Sitzung fortzusetzen. Anonyme Kontodatensätze sind ebenfalls Teil des exponierten Datensatzes, aber Gyazo gab nicht an, welchen Anteil der Datensätze sie ausmachen.

Der Vorfall legte auch 490 Millionen Bild-Metadatensätze offen, die meisten davon im Zusammenhang mit Bildern, die vor Januar 2019 auf den Dienst hochgeladen wurden. Metadaten sind Informationen über eine Datei und nicht der sichtbare Inhalt der Datei. In diesem Fall umfassen sie die Bildkennungen, die zum Aufbau der URL eines Bildes verwendet werden, die IP-Adresse, von der ein Bild hochgeladen wurde, User-Agent-Strings (der Text, der den Browser oder die Anwendung identifiziert, die eine Anfrage stellt), EXIF-Standortdaten (die geografischen Koordinaten und Kameradetails, die in einem Foto gespeichert sind), Text, der durch optische Zeichenerkennung (OCR, Software, die den Text in einem Bild liest) aus Bildern extrahiert wurde, Bildtitel, Quell-URLs und gehashte Passphrasen für private Bilder.

Helpfeel wies darauf hin, dass Bildkennungen möglicherweise verwendet werden können, um auf den entsprechenden Inhalt zuzugreifen, weshalb es den Zugriff auf die Dateien, deren Datensätze exponiert wurden, vorübergehend deaktiviert hat. Die Angreifer erhielten auch eine Liste, die private Bilder identifiziert, und das Unternehmen sagte, es könne nicht ausschließen, dass einige dieser Bilder angesehen wurden. Seine Untersuchung hat keine Anzeichen dafür gefunden, dass Daten aufgrund des Vorfalls gelöscht wurden, und es gibt keine Beweise dafür, dass Daten aus seinen anderen Diensten Helpfeel und Cosense gestohlen wurden.

Das Unternehmen gibt an, betroffene Nutzer direkt zu benachrichtigen, die Untersuchung mit externen Experten durchzuführen und die Behörden kontaktiert zu haben. Sein Rat an jeden Gyazo-Nutzer ist, sein Passwort für den Dienst zu ändern, es auf jeder anderen Plattform zu ändern, auf der dieselben Anmeldedaten verwendet wurden, und wachsam gegenüber verdächtiger Kommunikation zu bleiben.

Für Leser, die Websites betreiben oder Konten für ein Unternehmen verwalten, ist das Muster hier ernst zu nehmen. Ein einziger anfälliger Server kann Anmeldedaten, Token und Metadaten für Millionen von Menschen auf einmal exponieren, und die Auswirkungen halten lange an, nachdem die Schwachstelle selbst gepatcht wurde. Wiederverwendete Passwörter sind der Hauptverstärker dieses Schadens, denn ein gestohlener Passwort-Hash gibt einem Angreifer ein Ziel zum Knacken, das dann auch anderswo funktioniert. Sitzungskennungen und App-Integrationen sollten überprüft und widerrufen werden, wo immer ein Anbieter dies ermöglicht, und exponierte Abrechnungs- oder Abonnementdetails machen gefälschte Rechnungen und überzeugende Phishing-Nachrichten plausibler. AEU-I, der sicherheitsorientierte IT-, Infrastruktur- und Beratungsdienst der AEU Group, existiert für Teams, die genau diese Art der Überprüfung ihrer eigenen Konten, Anmeldedaten und Berechtigungen wünschen, und seine Dienstseite legt dar, was das abdeckt.