Die Zahl von 23,62 Millionen bezieht sich auf Datensätze, nicht auf Personen. Helpfeel weist darauf hin, dass darunter auch anonyme Konten ohne hinterlegte E-Mail-Adresse sind; wie viele Menschen tatsächlich betroffen sind, wird noch ermittelt. Welche Felder je Datensatz vorhanden sind, unterscheidet sich von Nutzer zu Nutzer.
Die offengelegten Authentifizierungsdaten habe man geprüft und “die notwendigen Maßnahmen einschließlich Ungültigmachung und Einschränkungen” ergriffen, so das Unternehmen – ohne zu benennen, welche Elemente konkret invalidiert wurden. Gyazo verschickt bei Anmeldungen von einer neuen IP-Adresse normalerweise einen Bestätigungscode per E-Mail. Ob die offengelegten Session-IDs weiterhin gültig sind, ließ Helpfeel offen.
Besonders heikel sind die Bild-IDs. Jede Gyazo-Aufnahme erhält einen Link, der auf einer 32 Zeichen langen Bild-ID basiert. Laut den Hilfeseiten des Dienstes bleibt eine Aufnahme privat, solange der Link nicht geteilt wird, wer den Link besitzt, kann sie sehen – und die ID sei lang genug, dass ein Link “nicht erraten werden kann”. Bei der Standardeinstellung schützt also allein der Link das Bild, und genau der unerratbare Teil davon ist nun abgeflossen. Kostenlose Konten können auf der Gyazo-Website zwar nur die zehn jüngsten Aufnahmen durchblättern, ältere werden laut Anbieter aber nicht gelöscht und bleiben über die URL erreichbar.
Die betroffenen Metadatensätze machen laut Helpfeel rund 14,4 Prozent der bildbezogenen Daten des Unternehmens aus. Zu weiteren 2,4 Millionen Bildern wurden Metadaten gesondert abgegriffen, und zwar über “bestimmte Filterkriterien”, wie es heißt. Welcher Filter das war, ob sich beide Datenbestände überschneiden und ob der zweite auch neuere Bilder umfasst, teilte das Unternehmen nicht mit.
Der Angreifer erlangte zudem eine Liste, die private Bilder identifiziert. Helpfeel erklärte, man könne “die Möglichkeit nicht ausschließen, dass der Dritte einige private Bilder angesehen hat”. Als privat gelten bei Gyazo entweder Aufnahmen mit der Einstellung “Nur ich” – die laut Hilfeseiten selbst mit Kenntnis des Links nicht abrufbar sind – oder passwortgeschützte Bilder. Beide Optionen gibt es nur in kostenpflichtigen Tarifen; welche gemeint ist und wie ein Zugriff möglich gewesen wäre, blieb offen. Zu den Metadaten zählt auch ein OCR-Textfeld aus der kostenpflichtigen Texterkennung, zu der die Hilfeseiten festhalten: “Nur Sie können die OCR-Ergebnisse sehen.”
Verdächtige Aktivitäten bemerkte Helpfeel nach eigenen Angaben am Abend des 11. September japanischer Zeit. Bis in die frühen Morgenstunden des 12. September seien die erkannten Zugangswege blockiert, die Verbindungen des Angreifers gekappt und die Schwachstelle noch am selben Tag behoben worden. Während Bilder nicht luden, sprachen die öffentlichen Hinweise von Gyazo von Wartungsarbeiten: Als die Bildauslieferung am 14. September ausgesetzt wurde, hieß es auf der Produktseite, die Auslieferung einiger Bilder sei “wegen Notfallwartung” gestoppt; nach der Wiederaufnahme für neue Uploads am 15. September folgte der Hinweis, einige Bilder seien weiterhin nicht verfügbar.
Den Datenabfluss bestätigte Helpfeel am 14. September, meldete den Vorfall am 15. September der japanischen Personal Information Protection Commission und veröffentlichte die Mitteilung am 16. September. Externe Spezialisten führen nun eine forensische Untersuchung durch. Betroffene sollen per E-Mail informiert werden, für anonyme Konten gibt es Hinweise auf der Website. Die übrigen Produkte Helpfeel und Cosense laufen auf getrennten Systemen; dort wurde bislang kein Datenabfluss festgestellt.