KYOTO / LONDON (IT BOLTWISE) – Bei einem Sicherheitsvorfall im Bild-Hostingdienst Gyazo wurden laut Betreiber 23,62 Millionen Benutzerdatensätze offengelegt. Zusätzlich sind rund 490 Millionen Datensätze mit Bild-Metadaten betroffen, vor allem zu Aufnahmen aus Januar 2019 oder früher. Betroffen sind dabei unter anderem E-Mail-Adressen, Passwort-Hashes und Verknüpfungen, die den Zugriff auf Bildinhalte erleichtern können, falls die entsprechenden Bild-IDs missbraucht werden. Das Unternehmen hat unter anderem Betrachtungsrouten für Teile der Inhalte vorübergehend deaktiviert und Nutzer zum Passwortwechsel aufgefordert.
Gyazo, der image-basierte Dienst von Helpfeel, steht wegen einer großen Datenpanne im Fokus. Laut einer Betreiber-Mitteilung wurden ungefähr 23,62 Millionen Benutzerdatensätze kompromittiert, darunter E-Mail-Adressen und Passwort-Hashes. Um das Risiko unmittelbar zu senken, fordert Helpfeel alle Gyazo-Nutzer zum Passwortwechsel auf – und zwar nicht nur im betroffenen Dienst, sondern auch auf anderen Angeboten, bei denen dieselben oder sehr ähnliche Zugangsdaten verwendet werden.
Das zweite, besonders heikle Element betrifft die Bilder selbst über ihre verlinkten Kennungen: Helpfeel spricht von etwa 490 Millionen Datensätzen mit Bild-Metadaten. Diese betreffen überwiegend Aufnahmen, die im Januar 2019 oder früher registriert wurden, und enthalten genau jene Bild-IDs, aus denen sich die Gyazo-Links zusammensetzen. Der Betreiber warnt, dass diese IDs dazu genutzt werden können, Bilder ohne Erlaubnis anzuzeigen, und dass man den Zugriff auf einen Teil der betroffenen Inhalte vorübergehend deaktiviert hat.
Technisch beschreibt Helpfeel den Weg in das System als Kombination aus Schwachstelle und Folgezugriff: Der Angreifer habe über eine Schwachstelle im Image-Upload-Server von Gyazo Zugriff erlangt, danach beliebige Befehle in Helpfeels Systemen ausgeführt und schließlich auf die Datenbank zugegriffen. Welche konkrete Lücke dahintersteckt, bleibt in der Mitteilung offen. Gleichzeitig ordnet der Vorfall die Sicherheitsarchitektur ein: Auf Gyazo entsteht pro Capture ein Link, der aus einer 32-stelligen ID besteht; laut Hilfe-Seiten soll diese ID so lang sein, dass ein Raten unmöglich sei. In der Praxis wird die „Ungestütztheit“ damit zur reinen Geheimhaltungsannahme des Link-Identifiers – und genau diese Annahme wird durch die geleakten IDs unterlaufen.
Für die 23,62 Millionen Datensätze beschreibt Helpfeel ein variierendes Feld-Set: Je nach Konto können Name (Freitext wie Nickname), User ID, Device ID, Login-Session-ID sowie Tokens für externe Integrationen wie X (ehemals Twitter) enthalten sein. Zusätzlich kommen Angaben zu Google-SSO-E-Mail-Adressen, Profilinformationen, Sprachpräferenzen, Registrierungs- und Letzter-Login-Zeitpunkt, Abo-Plan und Billing-Status hinzu; Kreditkartennummern oder andere Zahlungsdetails seien laut Mitteilung nicht offengelegt worden. Auffällig ist zudem, dass Helpfeel „notwendige Maßnahmen“ im Sinne von Invalidation und Einschränkungen ergriffen habe, aber nicht öffentlich konkretisiert, welche Elemente genau deaktiviert wurden – auch ob die betroffenen Session-IDs weiterhin gültig sind, bleibt damit eine offene Frage.
Noch größer ist die Brisanz bei den Bild-Metadaten: Helpfeel nennt als Beispiele neben der Bild-ID und der beim Upload genutzten IP-Adresse auch User-Agent-Informationen, EXIF-Geodaten (sofern im Bild vorhanden) sowie OCR-Text, also aus den Bildinhalten extrahierte Textfragmente. Außerdem werden Metadaten wie Bildtitel und Source-URL/weitere Herkunftsdaten genannt; bei privaten Bildern gibt es zusätzlich eine „gehashte Passphrase“. Das bedeutet, dass der Vorfall nicht nur „wer hat was gesehen“ betrifft, sondern auch die Möglichkeit, Inhalte über Such- und Extraktionsfunktionen zeitnah zu rekonstruieren oder in Verbindung mit Bildmetadaten weiter zu automatisieren.
Hilfreich ist zumindest die operative Reaktion, die Helpfeel zeitlich einordnet: Am Abend des 11. September (Japan-Zeit) habe man verdächtige Aktivitäten bemerkt. Bis in die frühen Stunden des 12. September habe man Zugriffspfade blockiert, die Verbindungen des Angreifers gekappt und die Schwachstelle noch am selben Tag behoben. In der Außenkommunikation wurde das Problem währenddessen als Wartung bzw. „emergency maintenance“ beschrieben; erst später bestätigte Helpfeel, dass Daten tatsächlich exponiert waren, und informierte Nutzer. Parallel liefen Forensikarbeiten durch externe Spezialisten; zusätzlich sollen betroffene Konten per E-Mail benachrichtigt werden, auch für anonyme Gyazo-Konten über Hinweise auf der Website.
Für Unternehmen und Entwickler ist der Vorfall vor allem ein Lehrstück darüber, wie eng „Privatsphäre“ in Web-Services an scheinbar unguessbare Identifier gekoppelt sein kann. Wenn ältere Inhalte auch bei „Privacy“-Einstellungen weiterhin abrufbar bleiben, sobald die Link-Bausteine bekannt sind, reicht ein reines Rate-Limit-Konzept nicht aus; dann wird die Sicherheitsannahme auf eine Schutzwirkung durch Geheimnismanager verlagert. Praktisch sollten Teams daher bei künftigen Bild- oder Content-Delivery-Architekturen stärker auf serverseitige Zugriffskontrollen, rotierende/ablaufende Token und eine eindeutige Trennung von „Link-Identität“ und „Autorisierungsentscheidung“ achten – sonst entsteht bei einem einzigen Datenbank-Abfluss ein massenhaft nutzbarer Schlüssel. Für Nutzer bleibt der unmittelbare Handlungshebel ebenfalls klar: Passwortwechsel, Prüfung auf verdächtige Nachrichten und – wo möglich – die Aktivierung zusätzlicher Kontoschutzmechanismen.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Gyazo-Breach: Millionen Konten und Bild-Metadaten kompromittiert" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Gyazo-Breach: Millionen Konten und Bild-Metadaten kompromittiert" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Gyazo-Breach: Millionen Konten und Bild-Metadaten kompromittiert« bei Google Deutschland suchen, bei Bing oder Google News!