Helpfeel a publié le 21 octobre les conclusions de l’enquête externe sur l’intrusion de septembre chez Gyazo, son service de partage d’images. Le rapport confirme qu’un attaquant a exploité une faille du serveur qui convertit les contenus téléversés, puis a lu des volumes importants de données et en a transmis vers un serveur extérieur.
Le bilan précise l’étendue des données concernées et ce qui reste incertain. Il ne décrit pas un téléchargement massif de toutes les images : 432 fichiers liés à 133 utilisateurs ont été identifiés comme consultés ou obtenus. Les autres chiffres portent principalement sur des comptes et des métadonnées, pas sur des photos ou captures téléchargées.
Ce que l’enquête a établi
L’intrusion a débuté le 11 septembre 2026. Des valeurs fournies lors du traitement de vidéos et d’autres contenus n’étaient pas correctement filtrées et pouvaient être interprétées comme des commandes sur le serveur. L’attaquant a ensuite accédé à la base de données et transféré des données vers l’extérieur.
Les journaux disponibles ne conservent pas le contenu précis des communications sortantes. Les experts ne peuvent donc pas établir exactement quels champs ni combien d’enregistrements ont quitté les systèmes. Ils jugent néanmoins l’exfiltration raisonnablement probable, au vu des lectures importantes en base et du volume transmis au même moment.
Comptes et métadonnées concernés
Helpfeel recense environ 23,62 millions de comptes concernés, dont 18,01 millions sans adresse e-mail enregistrée et 5,62 millions avec une adresse. Il s’agit de comptes, pas de personnes uniques. Les données peuvent inclure des identifiants de compte, des informations de profil et des données liées à l’authentification; les cartes bancaires ne sont pas concernées.
Le rapport mentionne aussi environ 490 millions d’enregistrements de métadonnées, principalement liés à des images mises en ligne avant janvier 2019, ainsi que des données associées à des images supprimées. Ces métadonnées peuvent contenir des éléments tels que l’adresse IP d’envoi, le texte reconnu dans l’image, des coordonnées EXIF ou un identifiant permettant de construire une URL d’image. Il s’agit de métadonnées, pas de 490 millions de fichiers image.
Les images : ce qui est confirmé
L’enquête n’a trouvé aucun indice d’acquisition à grande échelle des fichiers image ni de récupération de fichiers correspondant à des images supprimées. Helpfeel a cependant identifié 432 fichiers appartenant à 133 utilisateurs qui ont été consultés ou obtenus, et indique les avoir avertis individuellement.
L’entreprise ne peut pas exclure que certaines images aient aussi été consultées au moyen d’URL présentes dans les métadonnées divulguées. Les images anciennes restent accessibles uniquement à leurs propriétaires jusqu’à ce qu’ils examinent leur contenu et choisissent de rétablir leur diffusion. Il est donc utile de vérifier les captures anciennes, surtout si elles contenaient des données personnelles, des informations client ou des éléments internes.
Faut-il changer son mot de passe ?
Helpfeel précise que les informations liées aux mots de passe étaient des empreintes à sens unique, et non les mots de passe en clair. Certains éléments d’authentification et d’intégration ont été invalidés. Au 20 octobre, l’entreprise ne signalait pas d’utilisation secondaire confirmée ni de publication des données surveillée sur des places de marché illicites.
Si vous n’avez pas changé votre mot de passe Gyazo depuis l’incident, faites-le. Remplacez également les mots de passe identiques ou proches utilisés ailleurs : un secret réutilisé expose plusieurs comptes à partir d’une seule fuite. Méfiez-vous des messages d’hameçonnage liés à l’affaire; Helpfeel indique qu’elle ne demandera ni mot de passe ni numéro de carte bancaire.
Le lien avec Soclyde
Une fuite de service peut mettre en évidence les conséquences d’un mot de passe réutilisé, sans que cela signifie que tous les comptes sont compromis. Un mot de passe différent pour chaque service limite la propagation d’un incident. Soclyde aide à retrouver et organiser les identifiants professionnels dans un coffre chiffré sur les appareils autorisés; il ne protège pas Gyazo et ne peut pas annuler une exposition de métadonnées ou d’images.
À retenir
Le rapport final distingue les données de comptes, les métadonnées et les fichiers effectivement consultés. Changez le mot de passe Gyazo s’il est encore ancien, remplacez les secrets réutilisés et inspectez les images anciennes avant d’en réactiver le partage. Pour organiser les accès de votre équipe, consultez notre guide sur le partage sécurisé des mots de passe.
