Rapport final de Gyazo : la base a été lue. La plupart des images, non.

Helpfeel, l’entreprise derrière l’outil de captures d’écran Gyazo, a publié son enquête finale le 21 octobre 2026. Une faille dans le serveur de téléversement de Gyazo, le sien, a permis à quelqu’un d’exécuter des commandes, de lire la base de données et d’envoyer une grande quantité de données vers un serveur extérieur. L’intrusion a duré de l’après-midi du 11 septembre aux premières heures du 12 septembre, heure du Japon. Helpfeel avait bloqué cette voie à ce moment-là et corrigé la faille le même matin.

Ce n’était pas le logiciel d’un fournisseur. Helpfeel dit que la faille était dans du code qu’elle a écrit et qu’elle exploite : une valeur reçue par le serveur qui convertit les vidéos téléversées a été traitée comme une commande.

Ce que les journaux peuvent et ne peuvent pas montrer

Les enquêteurs externes ont comparé les journaux des serveurs et de l’infrastructure en nuage. Ces journaux montrent de grandes lectures dans la base, et un gros transfert du même serveur vers un serveur extérieur, dans la même fenêtre. Ils n’enregistrent pas le contenu de ce transfert. Helpfeel dit qu’il n’est pas possible, à partir des journaux seuls, de nommer les champs exacts ou le nombre exact de dossiers qui sont sortis.

L’évaluation des enquêteurs est que des données sont probablement sorties. Les chiffres ci-dessous sont la portée que Helpfeel énonce à partir de cette enquête et de la sienne. Ce n’est pas un bordereau du transfert. Helpfeel dit aussi que les arrondis font que les parties peuvent ne pas donner les totaux.

La liste des champs des dossiers d’utilisateurs est celle de l’avis du 16 septembre, et elle varie encore selon le compte. Elle comprend un nom ou un pseudonyme si la personne en a saisi un, l’adresse courriel, un condensat de mot de passe, l’identifiant d’utilisateur, l’identifiant d’appareil, l’identifiant de session de connexion, un jeton d’intégration X si le compte était relié, le courriel d’une connexion Google reliée, le texte du profil, la langue, les dates d’inscription et de dernière connexion, le forfait, l’état de facturation et des statistiques d’usage. L’état de facturation ne comprend pas de numéro de carte. Aucun renseignement de paiement, y compris les numéros de carte de crédit, n’était dans l’ensemble divulgué.

Le rapport du 21 octobre ajoute une correction sur les condensats. C’est une transformation à sens unique, pas les mots de passe. Les mots de passe eux-mêmes n’ont pas été divulgués. Helpfeel dit avoir déjà invalidé les données d’authentification et les connexions à des services externes qu’elle croit exposées, et que ces données seules ne devraient plus ouvrir un compte.

Sur les fichiers d’image, les enquêteurs n’ont trouvé aucune trace d’un téléchargement massif, ni aucune trace que les fichiers des images supprimées ont été pris. Helpfeel a ensuite constaté que 432 images, de 133 utilisateurs, ont été consultées ou prises. Elle a écrit à ces personnes pour dire quelles images. Elle ne peut pas non plus exclure que quelqu’un ait ouvert une image à l’aide d’une URL présente dans les métadonnées. C’est pourquoi les images téléversées avant l’intrusion ne restent visibles que pour leur propriétaire, jusqu’à ce que cette personne les revoie et rétablisse la diffusion. Helpfeel dit qu’elle ne les rétablira pas toutes elle-même. Les images dans Gyazo Teams peuvent encore être vues par d’autres personnes de la même équipe.

Les images de ces 133 utilisateurs ne contenaient pas, dit Helpfeel, de renseignements sur ses propres clients des produits Helpfeel ou Cosense. Ces deux produits tournent sur d’autres systèmes. L’examen n’y a trouvé ni divulgation ni accès non autorisé.

Les images supprimées gardaient leurs métadonnées

Quand quelqu’un supprimait une image, Gyazo supprimait le fichier après un moment et gardait les métadonnées, pour les enquêtes sur les abus et pour les demandes des autorités. La fuite comprenait un grand ensemble de ces métadonnées restantes.

La nouvelle règle de Helpfeel est que les métadonnées d’une image supprimée seront effacées automatiquement 60 jours après la suppression de l’image. Les métadonnées plus anciennes, y compris celles touchées par cet incident, seront effacées au fil du temps, sauf lorsqu’un signalement à une autorité ou une loi dit de les garder. Elle fixera aussi des durées de conservation pour les dossiers liés aux comptes supprimés, et publiera ces durées dans sa politique de confidentialité.

Ce que Helpfeel a vu, et n’a pas vu, depuis

Au 20 octobre, Helpfeel n’avait pas confirmé d’usage abusif, d’usurpation, de perte financière ou d’autre préjudice lié à l’incident. Depuis la fin septembre, elle surveille les marchés illicites, y compris ce qu’elle appelle le dark web, et au 20 octobre elle n’y avait pas trouvé ces données offertes. Elle continuera de surveiller pendant au moins un an.

Elle a transmis un constat préliminaire à la Commission de protection des renseignements personnels du Japon le 15 septembre et un suivi le 24 septembre, et elle doit encore à cette commission un rapport final. Elle rapporte l’incident au ministère des Affaires intérieures et des Communications depuis le 16 septembre. Elle a avisé les autorités de protection de la vie privée d’environ 30 pays et régions, y compris au titre du RGPD. Elle a consulté la police préfectorale de Kyoto. Le service lui-même est revenu le 27 septembre.

Quoi faire

1. Si vous n’avez pas changé votre mot de passe Gyazo depuis le 11 septembre, changez-le. C’est la demande de Helpfeel, même si vous pensez que le condensat seul ne sert à rien. Si vous utilisiez le même mot de passe, ou un mot de passe semblable, ailleurs, changez ceux-là aussi.
2. Ne traitez pas un courriel de Helpfeel comme un lien à cliquer. Le courrier au sujet de cet incident ne vous demandera pas d’ouvrir une URL ni de faire quelque chose sur un site lié. Helpfeel ne vous demandera pas votre mot de passe ni votre numéro de carte à cause de cet incident. La page de contact de Gyazo, si vous en avez besoin, est help.gyazo.com/contact-us. Ouvrez-la vous-même.
3. Regardez les captures téléversées avant le 11 septembre avant de rétablir le partage. Helpfeel vous laisse ce choix parce qu’une URL dans les métadonnées peut encore pointer vers l’image. Une capture peut montrer un mot de passe, un message privé ou une page de compte. L’entreprise n’a pas dit que les 432 images connues contenaient cela. L’examen reste le vôtre.
4. Pas de courriel ne veut pas dire pas de dossier. Environ les trois quarts des dossiers d’utilisateurs n’avaient pas d’adresse courriel. Helpfeel écrit, depuis le 20 septembre, aux adresses qu’elle a. Elle écrit maintenant aussi à environ 57 000 comptes, y compris des comptes supprimés et annulés, qui avaient une adresse et peuvent être liés aux métadonnées d’images supprimées. Les autres ne recevront pas de lettre, parce qu’il n’y a nulle part où l’envoyer.
5. Une carte sur le compte Gyazo ne faisait pas partie de ceci. Si un message en demande une, ce n’est pas l’avis de Helpfeel.

Sources

• Helpfeel, « Notice Regarding Unauthorized Access to Gyazo: Investigation Results (Update 3) » (en anglais), 21 octobre 2026
• Helpfeel, « Notice and Apology Regarding a Data Breach Resulting from Unauthorized Access to Gyazo » (en anglais), 16 septembre 2026