Gyazo server flaw exploited to steal 23.6 million user records

Violation de données majeure chez Gyazo : 23,6 millions d’utilisateurs exposés

La plateforme de partage d’images Gyazo a subi une intrusion informatique le 11 septembre 2026, entraînant le vol des données personnelles de 23,62 millions d’utilisateurs. L’exploitation d’une vulnérabilité serveur a permis aux attaquants d’accéder à la base de données avant que l’activité suspecte ne soit détectée et corrigée le 12 septembre. Le service est actuellement suspendu pour maintenance préventive.

Points clés :

• Volume de données : 23,6 millions d’enregistrements utilisateurs et 490 millions de métadonnées d’images (principalement antérieures à 2019) ont été compromis.
• Informations exposées : Noms, adresses e-mail, hashs de mots de passe, jetons d’intégration (X, Google SSO), historiques de facturation et données techniques.
• Risque lié aux images : Les attaquants ont pu accéder à des métadonnées sensibles (adresses IP d’upload, données de localisation EXIF, texte OCR) et potentiellement visualiser des images privées.
• Impact limité : Aucune preuve de suppression de données n’a été constatée, et les autres services de l’entreprise (Helpfeel, Cosense) ne semblent pas affectés.

Vulnérabilités :

• Le vecteur d’attaque est une vulnérabilité serveur non spécifiée (aucune CVE n’a été attribuée à ce jour).

Recommandations :

• Réinitialisation des mots de passe : Modifier immédiatement le mot de passe sur Gyazo et sur toute autre plateforme utilisant les mêmes identifiants.
• Vigilance accrue : Surveiller les communications suspectes (phishing) liées aux informations personnelles divulguées.
• Contrôle des comptes tiers : Vérifier les autorisations accordées via les intégrations (X, Google) et révoquer les accès si nécessaire.

Source