Site de imagens sofre ataque e tem 23,6 milhões de dados vazados

Plataforma de compartilhamento de imagens confirmou invasão ocorrida em 11 de setembro; dados incluem e-mails, hashes de senhas, tokens de integração e metadados de 490 milhões de imagens

A plataforma de compartilhamento de imagens Gyazo confirmou uma violação de dados que resultou no roubo de aproximadamente 23,62 milhões de registros de usuários. Segundo comunicado da empresa, o incidente ocorreu em 11 de setembro de 2026 e foi possível após a exploração de uma vulnerabilidade no servidor da plataforma.

O Gyazo é uma ferramenta de captura de tela e gravação de tela baseada em nuvem, operada pela Helpfeel, que envia automaticamente as capturas para a nuvem e gera um link compartilhável. A plataforma afirma ter 23 milhões de usuários em todo o mundo e 3,1 bilhões de itens de mídia enviados.

O que foi exposto

De acordo com a investigação da empresa, os dados expostos variam por usuário e podem incluir um ou mais dos seguintes itens: nomes ou apelidos, endereços de e-mail, hashes de senhas, IDs de usuário e dispositivo, IDs de sessão de login, tokens de integração com o X (antigo Twitter), e-mails de SSO do Google, detalhes de perfil, informações de assinatura, status de cobrança e estatísticas de uso. O conjunto de dados também inclui registros de contas anônimas, embora a empresa não tenha informado qual percentual isso representa.

Além dos registros de usuários, o incidente expôs 490 milhões de registros de metadados de imagens, a maioria associada a imagens enviadas antes de janeiro de 2019. Esses metadados incluem IDs de imagem usados para construir URLs, endereços IP de upload, strings de User-Agent, dados de localização EXIF, texto extraído por OCR, títulos de imagens, URLs de origem e frases-senha com hash para imagens privadas.

A Helpfeel observou que os IDs de imagem podem ser usados para acessar o conteúdo correspondente, razão pela qual a empresa desativou temporariamente o acesso a arquivos cujos registros foram expostos. A empresa também afirmou que os invasores obtiveram uma lista que identifica imagens privadas e que não pode descartar que algumas tenham sido visualizadas.

Medidas adotadas e recomendações

A empresa detectou a atividade suspeita em 12 de setembro e corrigiu a vulnerabilidade explorada pelos atacantes, mas os dados já haviam sido roubados. O Gyazo está temporariamente offline para manutenção como medida preventiva.

A investigação da Helpfeel não encontrou sinais de que dados tenham sido deletados em decorrência do incidente, nem evidências de que seus outros serviços, Helpfeel e Cosense, tenham sofrido roubo de dados. A empresa está notificando os usuários afetados diretamente, conduzindo uma investigação com especialistas externos e contactando as autoridades.

Todos os usuários do Gyazo são aconselhados a alterar suas senhas no serviço e em outras plataformas onde utilizam as mesmas credenciais, além de permanecerem alertas para comunicações suspeitas.