Gyazo confirma invasão: OCR de 490 mi de capturas vazado

A Helpfeel Inc., empresa sediada em Kyoto e operadora do Gyazo — serviço de captura e compartilhamento de telas com mais de 3 bilhões de uploads registrados —, confirmou em comunicado oficial datado de 16 de setembro de 2026 que um terceiro não identificado explorou uma vulnerabilidade no servidor de upload de imagens do serviço para executar comandos arbitrários em seus sistemas internos. O atacante alcançou o banco de dados do Gyazo e exfiltrou dois conjuntos de dados: 23,62 milhões de registros de usuários e metadados de aproximadamente 490 milhões de capturas. Todos os números foram declarados pela própria empresa — não há discrepância entre alegação de ator externo e confirmação da vítima, porque não houve reivindicação externa.

O conjunto de dados de usuários inclui: nomes (ou apelidos inseridos livremente), endereços de e-mail, hashes de senha, IDs de usuário, IDs de dispositivo, IDs de sessão de login, tokens de integração com o X (ex-Twitter) e e-mails de contas vinculadas por SSO (Google, Apple, X). Nenhuma informação financeira ou número de cartão de crédito foi comprometido — isso é afirmação da empresa, corroborada pela natureza do serviço (Gyazo não processa pagamentos diretamente visíveis no banco afetado). A Helpfeel afirma ter revisado e invalidado ou restringido os dados de autenticação comprometidos, mas não especificou quais itens foram efetivamente invalidados — o status dos session IDs expostos permanece não esclarecido publicamente.

O vetor secundário — e potencialmente mais grave do ponto de vista de impacto duradouro — é o vazamento dos metadados de imagens. O Gyazo protege capturas pelo modelo de 'segurança por obscuridade': cada imagem recebe um ID de 32 caracteres que compõe a URL; sem proteção adicional, ter a URL equivale a ter acesso. Com os IDs exfiltrados, essa proteção colapsa para as capturas afetadas. Os ~490 milhões de registros de metadados cobrem principalmente imagens registradas até janeiro de 2019 (14,4% do total de imagens da plataforma) e incluem: IDs de imagem, IPs de origem do upload, user-agents, dados de localização EXIF, texto extraído por OCR, títulos das imagens, URLs de origem e hashes das senhas de imagens privadas. A Helpfeel admite não poder descartar que imagens privadas tenham sido visualizadas pelo atacante.

Há um detalhe de comunicação que merece escrutínio: entre 14 e 15 de setembro, enquanto a Helpfeel já havia confirmado internamente a exfiltração e notificado o regulador, o painel público de atualizações do Gyazo descreveu o evento apenas como 'manutenção de emergência'. A empresa só publicou o aviso de violação no dia seguinte. Esse intervalo — dois dias entre a confirmação interna e a divulgação pública — é dentro de parâmetros aceitáveis de resposta a incidentes, mas a escolha de linguagem no painel público durante esse período pode ser objeto de questionamento regulatório no contexto da lei japonesa de proteção de dados pessoais.

Sobre o ator: nenhum grupo reivindicou o ataque até a data deste relatório. O dataset não estava presente no Have I Been Pwned em 18/09/2026. A ausência de reivindicação pública é uma lacuna de atribuição, não evidência de ausência de monetização futura. A investigação forense está sendo conduzida por especialistas externos contratados pela Helpfeel — os resultados não foram publicados.

Usuários do Gyazo com contas registradas têm e-mail, hash de senha e potencialmente tokens OAuth expostos — risco imediato de credential stuffing e phishing temático. Usuários que reutilizaram senhas em outros serviços estão em risco adicional, pois hashes podem ser quebrados offline ao longo do tempo. Capturas antigas (até janeiro de

2019) têm seus IDs de link expostos, o que pode permitir a qualquer pessoa com acesso aos dados visualizar essas imagens sem autorização — incluindo capturas de telas de trabalho, fragmentos de conversas e documentos que usuários capturaram rotineiramente. O texto extraído por OCR dessas imagens amplifica o risco: informações que nunca foram digitadas em formulário algum podem ter saído embutidas nos metadados. Organizações cujos funcionários usavam o Gyazo para capturar telas corporativas precisam avaliar se material confidencial foi incluído nessas capturas. Os produtos Helpfeel e Cosense, que rodam em arquitetura separada, não registraram exposição confirmada, mas imagens do Gyazo embutidas neles ficaram temporariamente indisponíveis.