O que aconteceu
A Helpfeel, empresa de Kyoto responsável pela ferramenta de capturas de tela Gyazo, informou que em 11 de setembro de 2026 um atacante explorou uma vulnerabilidade no servidor de upload de imagens, executou comandos arbitrários e chegou ao banco de dados. A atividade foi detectada naquela noite e o acesso foi cortado na manhã seguinte.
O que foi exposto
No aviso de 16 de setembro, a empresa confirmou:
- cerca de 23,62 milhões de registros de usuários: nomes ou apelidos, e-mails, hashes de senha, IDs de dispositivo e sessão e tokens de integração com o X;
- cerca de 490 milhões de registros de metadados de imagens, em sua maioria de imagens enviadas até janeiro de 2019: IP de upload, localização EXIF, texto extraído por OCR e os IDs usados para montar as URLs das imagens.
Por causa desse último item, a Helpfeel suspendeu a visualização de imagens. Dados de pagamento não foram afetados.
A atualização de 25 de setembro acrescentou que cerca de 18,01 milhões de registros (≈76%) são de contas anônimas sem e-mail e que vazaram também metadados de cerca de 174 milhões de imagens que os usuários já tinham apagado, em geral até fevereiro de 2023. Os arquivos apagados em si não vazaram. A vulnerabilidade e o autor não foram identificados publicamente.
Por que importa
O caso mostra um problema de retenção de dados: o usuário apagou a imagem anos atrás, mas os metadados (incluindo localização e texto da imagem) continuaram no servidor.
O que fazer agora
- Usuários do Gyazo: troque a senha e revogue a integração com o X nas configurações da conta X.
- Empresas: verifique se capturas internas eram enviadas ao Gyazo; o texto por OCR pode conter informações sensíveis.
- Revise sua própria política: "apagar" precisa apagar também metadados e índices.