Japońska firma Helpfeel poinformowała 16 września 2026 roku o włamaniu do Gyazo — jednej z najpopularniejszych na świecie usług do robienia i udostępniania zrzutów ekranu. Napastnik wykradł około 23,62 miliona rekordów użytkowników oraz metadane blisko 490 milionów obrazów. Wśród tych metadanych znalazły się identyfikatory, z których budowane są linki do zrzutów — czyli dokładnie to, co miało chronić prywatne screeny przed obcymi oczami.
Jak doszło do włamania
Atakujący wykorzystał podatność w serwerze odpowiedzialnym za wgrywanie obrazów, uruchomił na infrastrukturze Helpfeel dowolne polecenia i dostał się do bazy danych Gyazo. Firma nie ujawniła, jakiego typu był to błąd. Podejrzana aktywność została zauważona wieczorem 11 września, do rana 12 września odcięto napastnika i załatano lukę, a fakt wycieku potwierdzono 14 września.
Warto zwrócić uwagę na komunikację. Przez kilka dni użytkownicy widzieli na stronie statusu Gyazo informacje o „awaryjnej konserwacji”, które nie wspominały ani słowem o włamaniu. Oficjalny komunikat pojawił się dopiero pięć dni po wykryciu incydentu.
Co dokładnie wyciekło
W rekordach kont znalazły się nazwy użytkowników, adresy e-mail, skróty haseł, identyfikatory urządzeń, identyfikatory sesji logowania, tokeny integracji z serwisem X oraz adresy e-mail używane do logowania przez Google SSO. Danych kart płatniczych wyciek nie objął.
Groźniejsza jest druga część. Każdy zrzut w Gyazo dostaje link zbudowany z 32-znakowego identyfikatora, a dokumentacja usługi zapewnia, że jest on na tyle długi, iż „nie da się go zgadnąć”. W domyślnych ustawieniach ten link to jedyne zabezpieczenie obrazu — i właśnie te identyfikatory trafiły w ręce napastnika. Do tego doszły adresy IP wgrywających, dane EXIF z lokalizacją oraz tekst wyodrębniony przez funkcję OCR, czyli treść widoczna na zrzutach ekranu.
Napastnik zdobył również listę obrazów oznaczonych jako prywatne, a firma przyznaje, że nie może wykluczyć, iż część z nich została obejrzana.
Dlaczego to jest poważniejsze, niż wygląda
Zrzuty ekranu to zaskakująco intymna kategoria danych. Ludzie robią screeny faktur, potwierdzeń przelewów, rozmów na komunikatorach, ekranów logowania, kodów jednorazowych, wewnętrznych systemów firmowych, a czasem po prostu haseł zapisanych w notatniku. Wszystko to trafia do usługi jednym skrótem klawiszowym i zostaje tam latami — Gyazo nie kasuje starych obrazów, a darmowe konta po prostu tracą do nich dostęp z poziomu strony, choć link dalej działa.
To także podręcznikowy przykład pułapki, jaką jest „bezpieczeństwo przez niejawność”. Losowy, trudny do odgadnięcia adres URL sprawdza się dopóty, dopóki lista adresów nie wycieknie z bazy. Wtedy zamienia się w gotowy katalog.
Co robić
Jeśli kiedykolwiek korzystałeś z Gyazo, zacznij od zmiany hasła — i tego samego hasła wszędzie tam, gdzie go używałeś ponownie. Warto też odłączyć integrację z kontem X i cofnąć zgodę na logowanie przez Google, bo tokeny integracji były częścią wycieku. Kolejny krok to przejrzenie własnej historii zrzutów i skasowanie tych, które zawierają cokolwiek wrażliwego. Jeśli na jakimś screenie widniało hasło, kod lub numer konta — traktuj je jako ujawnione i zmień.
Na przyszłość warto przyjąć prostą zasadę: zrzut ekranu z danymi wrażliwymi nie trafia do chmury. Systemowe narzędzia — Wycinek ekranu w Windows, Cmd+Shift+4 na macOS, Flameshot na Linuksie — zapisują plik lokalnie i nie wysyłają go nigdzie. Automatyczne wgrywanie każdego screena na zewnętrzny serwer to wygoda, za którą płaci się dokładnie w takich sytuacjach.
Podsumowanie
Włamanie do Gyazo pokazuje, że wyciek metadanych bywa groźniejszy niż wyciek samej bazy kont. Hasła da się zmienić w kilka minut, ale zawartość dziesiątek prywatnych zrzutów ekranu sprzed lat — już nie. Zanim wciśniesz skrót od screenshota, warto przez sekundę pomyśleć, gdzie ten obrazek wyląduje i jak długo tam poleży.
źródło: https://thehackernews.com/2026/09/gyazo-breach-exposes-2362-million-user.html