A plataforma Gyazo confirmou ter sido alvo de um ataque ocorrido em 11 de setembro de 2026, depois que invasores exploraram uma vulnerabilidade em um de seus servidores para acessar o banco de dados e roubar cerca de 23,62 milhões de registros de usuários. A empresa, administrada pela Helpfeel, anunciou a suspensão temporária do serviço para realizar manutenção e investigação.
A Gyazo detectou a atividade suspeita em 12 de setembro e afirmou ter corrigido a vulnerabilidade usada no ataque, mas os dados já haviam sido copiados. De acordo com o comunicado da empresa, o acesso não autorizado envolveu informações de usuários e metadados associados às imagens enviadas.
Quais dados foram acessados?
O escopo dos dados expostos varia de uma conta para outra e pode incluir nomes de usuários ou apelidos, endereços de e-mail, hashes de senhas, identificadores de usuários e dispositivos, identificadores de sessões de login, tokens de integração com o X e endereços de e-mail associados ao login via Google, além de detalhes de perfis, informações de assinaturas, status de cobrança e estatísticas de uso.
Os dados também incluíam contas anônimas, sem que a Gyazo tenha especificado sua proporção do total de registros.
490 milhões de registros de dados de imagens
A empresa afirmou que o incidente também afetou cerca de 490 milhões de registros de metadados de imagens, a maioria associada a imagens enviadas antes de janeiro de 2019. Esses dados incluem identificadores de imagens usados na formação de seus links, endereços IP durante o envio, strings de User-Agent, dados de localização extraídos de EXIF, textos extraídos por OCR, títulos de imagens e links de origem, além de frases secretas com hash de imagens privadas.
A Helpfeel reconhece que os identificadores de imagens podem ser usados para acessar o conteúdo correspondente e, por isso, desativou temporariamente o acesso aos arquivos abrangidos pelos registros expostos. Os invasores também obtiveram uma lista que identifica as imagens privadas, e a empresa não pode descartar a possibilidade de que algumas tenham sido visualizadas, embora não tenha encontrado indícios de exclusão de dados como resultado do incidente.
Por que esta notícia é importante?
O risco aqui não se limita aos dados das contas; os metadados das imagens podem revelar locais de envio ou textos extraídos das imagens, enquanto os identificadores e links das imagens podem ajudar a associar os registros ao conteúdo. A presença de identificadores de sessão e tokens de integração entre os dados potencialmente expostos aumenta a importância das medidas de resposta, mesmo sem a empresa ter anunciado evidências de uso desses elementos.
A Helpfeel não encontrou evidências de roubo de dados de seus outros dois serviços, Helpfeel e Cosense, e afirmou que está notificando diretamente os usuários afetados e investigando o ocorrido com a ajuda de especialistas externos, além de informar as autoridades.
A Gyazo recomenda que todos os usuários alterem suas senhas no serviço e em quaisquer outras plataformas onde tenham usado as mesmas senhas, além de terem cuidado com mensagens suspeitas. A proporção de registros anônimos e a confirmação de que imagens privadas tenham sido efetivamente visualizadas continuam sendo pontos ainda não esclarecidos pela fonte.