Helpfeel hat den Vorfall bei seinem Bilddienst Gyazo öffentlich gemacht. Der Zugriff gelang demnach über eine Schwachstelle im Server für Bild-Uploads, die ein Angreifer am 11. September ausnutzte. Dadurch konnte er schädliche Befehle auf dem System ausführen.
Einen Tag später wurde der Angreifer aus den Systemen gedrängt. In der Zwischenzeit erlangte er jedoch Zugriff auf eine Datenbank mit rund 23,6 Millionen Nutzerdatensätzen.
Der betroffene Datenbestand umfasst nach Darstellung des Unternehmens Namen, E-Mail-Adressen, Passwort-Hashes, Nutzer- und Geräte-IDs, Token für die X-Integration, Profilinformationen, Nutzungsstatistiken und Abrechnungsdaten. Zahlungskartendaten seien nicht betroffen.
Wie viele Personen tatsächlich betroffen sind, ist offen. „Zu den rund 23,62 Millionen betroffenen Datensätzen zählen auch Datensätze anonymer Konten ohne hinterlegte E-Mail-Adresse oder vergleichbare Angaben. Wir ermitteln weiterhin die tatsächliche Zahl der Personen, deren personenbezogene Daten unbefugt offengelegt wurden“, teilte Helpfeel mit.
Neben den Nutzerdatensätzen griff der Angreifer auf etwa 490 Millionen Datensätze mit Bild-Metadaten zu. Diese Metadaten sind besonders heikel: Sie enthalten Angaben, mit denen sich die zu hochgeladenen Bildern gehörenden URLs rekonstruieren und die Inhalte anschließend abrufen lassen.
Darüber hinaus wurde eine Liste privater Bilder kompromittiert. Zum Umfang dieser Liste hat Helpfeel bislang keine Angaben veröffentlicht.