O Gyazo, serviço japonês de captura e compartilhamento de tela muito usado por gamers e equipes de suporte, sofreu uma invasão que expôs cerca de 23,6 milhões de registros de contas e 490 milhões de registros de imagens. A desenvolvedora Helpfeel confirmou o incidente em nota oficial na quarta-feira (16) e pediu que todos os usuários troquem a senha.
O ataque aconteceu em 11 de setembro, por meio de uma falha no servidor de envio de arquivos, e foi contido nas primeiras horas do dia 12. O intervalo foi curto, mas suficiente para o invasor chegar ao banco de dados principal e copiar informações de cadastro e de arquivos.
O que foi exposto
Entre os dados de conta, a Helpfeel lista nomes de usuário, e-mails, senhas criptografadas, identificadores de aparelhos, tokens de integração com o X e com contas Google, além de informações de plano e histórico de uso. A empresa afirma que dados bancários e números de cartão não foram afetados.
A parte mais sensível está nos registros de imagens. Os 490 milhões de entradas, em grande maioria anteriores a janeiro de 2019, incluem:
- Endereço IP de quem fez o upload;
- Texto extraído automaticamente das capturas;
- Coordenadas geográficas, quando disponíveis;
- Os códigos que formam os links de visualização.
Esse último item é o que preocupa: com o código em mãos, é possível abrir capturas marcadas como privadas. Por isso a Helpfeel suspendeu temporariamente a exibição de parte das imagens enquanto investiga.
Número de pessoas pode ser menor
A empresa ressalva que os 23,6 milhões de registros incluem contas anônimas, sem e-mail cadastrado, então o total de pessoas identificáveis ainda está sendo apurado. O órgão japonês responsável por dados pessoais já foi avisado, peritos de fora foram chamados para medir o alcance da invasão, e os outros produtos do grupo, como o Cosense, rodam em estrutura separada e não mostram sinais de comprometimento até agora.
Os usuários afetados serão avisados por e-mail e pela interface do site conforme a apuração avançar.
Por que isso importa
O Gyazo é popular no Brasil entre quem joga online, compartilha prints de bugs ou usa a ferramenta em suporte técnico, e muita gente criou a conta há anos e nunca mais pensou nela. Capturas de tela costumam carregar conversas, dados de cartão, endereços e documentos abertos na hora do print. Vale entrar na conta, trocar a senha, revogar as integrações com X e Google que não usa mais e apagar capturas antigas. Se a mesma senha servia em outros sites, troque lá também. Uma chave física de segurança, como a YubiKey 5 NFC, protege as contas mais importantes mesmo quando a senha vaza.
Produtos relacionados:
Oferta · Amazon Yubico YubiKey 5 NFC, chave de segurança USB-A e NFC Ver oferta → 
Oferta · Amazon Yubico Security Key C NFC, USB-C com FIDO2 Ver oferta →
