Qué pasó
Helpfeel, la empresa de Kioto detrás de la herramienta de capturas Gyazo, informó que el 11 de septiembre de 2026 un atacante explotó una vulnerabilidad en su servidor de subida de imágenes, ejecutó comandos arbitrarios y llegó a la base de datos. La actividad se detectó esa noche y el acceso se cortó a la mañana siguiente.
Qué se expuso
En su aviso del 16 de septiembre, la empresa confirmó:
- unos 23,62 millones de registros de usuarios: nombres o apodos, correos, hashes de contraseña, IDs de dispositivo y sesión y tokens de integración con X;
- unos 490 millones de registros de metadatos de imágenes, sobre todo de imágenes subidas hasta enero de 2019: IP de subida, ubicación EXIF, texto extraído por OCR y los IDs usados para construir las URL.
Por ese último dato, Helpfeel pausó la visualización de imágenes. No se expusieron datos de pago.
La actualización del 25 de septiembre añadió que unos 18,01 millones (≈76%) son cuentas anónimas sin correo y que también se expusieron metadatos de unos 174 millones de imágenes que los usuarios ya habían borrado. Los archivos borrados en sí no se filtraron.
Por qué importa
Es un problema de retención de datos: el usuario borró la imagen hace años, pero los metadatos seguían en el servidor.
Qué hacer ahora
- Usuarios de Gyazo: cambien la contraseña y revoquen la integración con X.
- Empresas: verifiquen si se subían capturas internas a Gyazo.
- Asegúrense de que "borrar" también elimine metadatos e índices.