La plataforma para compartir imágenes y grabar la pantalla Gyazo confirmó que sufrió un hackeo el 11 de septiembre de 2026, después de que unos atacantes explotaran una vulnerabilidad en uno de sus servidores para acceder a la base de datos y robar aproximadamente 23,62 millones de registros de usuarios. La empresa, gestionada por Helpfeel, anunció la suspensión temporal del servicio para realizar tareas de mantenimiento e investigación.
Gyazo detectó la actividad sospechosa el 12 de septiembre y afirmó que había corregido la vulnerabilidad utilizada en el ataque, pero los datos ya habían sido copiados. Según el comunicado de la empresa, el acceso no autorizado incluyó información de los usuarios y metadatos asociados con las imágenes subidas.
¿A qué datos se accedió?
El alcance de los datos expuestos varía de una cuenta a otra y puede incluir nombres de usuario o alias, direcciones de correo electrónico, hashes de contraseñas, identificadores de usuarios y dispositivos, identificadores de sesiones de inicio de sesión, tokens de integración con X y direcciones de correo asociadas con el inicio de sesión mediante Google, además de detalles de los perfiles, información sobre las suscripciones, el estado de la facturación y estadísticas de uso.
Los datos también incluían cuentas anónimas, aunque Gyazo no especificó qué proporción representan del total de registros.
490 millones de registros de metadatos de imágenes
La empresa afirmó que el incidente también afectó a aproximadamente 490 millones de registros de metadatos de imágenes, la mayoría de ellos asociados con imágenes subidas antes de enero de 2019. Estos datos incluyen los identificadores de las imágenes utilizados para generar sus enlaces, las direcciones IP durante la subida, cadenas de User-Agent, datos de ubicación extraídos de EXIF, textos extraídos mediante OCR, títulos de imágenes y enlaces de origen, además de frases de acceso con hash correspondientes a imágenes privadas.
Helpfeel reconoce que los identificadores de las imágenes podrían utilizarse para acceder al contenido correspondiente, por lo que desactivó temporalmente el acceso a los archivos incluidos en los registros expuestos. Los atacantes también obtuvieron una lista que identificaba las imágenes privadas, y la empresa no puede descartar la posibilidad de que se haya visto alguna de ellas, aunque no encontró indicios de eliminación de datos como consecuencia del incidente.
¿Por qué es importante esta noticia?
El riesgo no se limita a los datos de las cuentas; los metadatos de las imágenes pueden revelar los lugares desde los que se subieron o textos extraídos de las imágenes, mientras que los identificadores y enlaces de las imágenes pueden ayudar a vincular los registros con el contenido. La presencia de identificadores de sesión y tokens de integración entre los posibles datos aumenta la importancia de las medidas de respuesta, incluso aunque la empresa no haya anunciado pruebas de que esos elementos se hayan utilizado.
Helpfeel no encontró pruebas de robo de datos de sus otros dos servicios, Helpfeel y Cosense, y afirmó que está notificando directamente a los usuarios afectados e investigando el incidente con la ayuda de expertos externos, además de informar a las autoridades.
Gyazo recomienda a todos los usuarios cambiar sus contraseñas en el servicio y en cualquier otra plataforma en la que hayan utilizado las mismas contraseñas, además de tener cuidado con los mensajes sospechosos. La proporción de registros anónimos y si realmente se vieron imágenes privadas siguen siendo aspectos que la fuente aún no ha esclarecido.