Destinatarios: cualquier persona que haya usado Gyazo y cualquiera que gestione una función de subida de imágenes o archivos. Este artículo se basa en el aviso oficial del operador y no contiene técnicas de ataque.
Qué ocurrió (según Helpfeel)
El 16 de septiembre de 2026, Helpfeel Inc. anunció una filtración de datos causada por un acceso no autorizado a su servicio de uso compartido de imágenes Gyazo. Todo lo que sigue procede del aviso oficial de la empresa.
11 sep 2026
Un tercero explotó una vulnerabilidad en el servidor de subida de imágenes de Gyazo y ejecutó comandos arbitrarios en los sistemas de la empresa. Esa misma noche se detectó un comportamiento sospechoso, y comenzaron la investigación y la respuesta.Madrugada del 12 sep
Se bloquearon las vías de intrusión y se cortaron las conexiones no autorizadas del tercero.14 sep
Se confirmó la filtración y se tomaron medidas preventivas.15 sep
Más medidas contra daños secundarios. Se reanudó la entrega de imágenes subidas tras la corrección. Se informó a la Comisión de Protección de Información Personal.16 sep
Se publicaron el alcance y el impacto confirmados. Continúa una investigación forense realizada por un especialista externo.
- Registros de usuarios, ~23,62 M
- Nombre visible (cualquier nombre o apodo), dirección de correo electrónico, hash de contraseña, ID de usuario, ID de dispositivo, ID de sesión de inicio de sesión, token de integración de X (Twitter) (si está vinculado), correo de inicio de sesión único de Google (si está vinculado), datos de perfil, idioma, marcas de tiempo de registro y último inicio de sesión, plan, estado de facturación, estadísticas de uso. Qué elementos aplican varía según el usuario
- Metadatos de imágenes
- ID de imagen, IP de subida, User-Agent, ubicación EXIF, texto OCR de la imagen, título, URL de origen, hashes de las frases de paso de imágenes privadas
- Las imágenes en sí
- No se ha confirmado pérdida de datos de imagen. Pero la empresa "no puede descartar por completo que algunas imágenes privadas hayan sido vistas por un tercero"
- Datos de pago
- No se filtraron números de tarjetas ni otros datos de pago, confirma la empresa
- Datos de autenticación
- Tras revisar cómo funciona cada elemento y cómo podría utilizarse indebidamente, la empresa afirma que ya ha invalidado o restringido lo necesario
- Causa
- Una vulnerabilidad en el servidor de subida de imágenes, ya corregida, con todas las vías utilizadas en la intrusión bloqueadas. La vulnerabilidad específica no ha sido nombrada
Cómo leerlo: 23,62 millones no es un recuento de personas, y 490 millones no son imágenes
La cifra de ~23,62 millones incluye cuentas anónimas sin dirección de correo electrónico registrada; la empresa indica que el número de personas cuyos datos personales realmente se filtraron sigue bajo investigación. La cifra de ~490 millones cuenta registros de información sobre imágenes (metadatos), no archivos de imagen.
Ninguna de las dos cifras significa "nada de lo que preocuparse". Como muestra la siguiente sección, el contenido de esos metadatos es un riesgo que fácilmente pasa desapercibido.
Lo que revela la información sobre una imagen
Una imagen subida
ID de imagen / título / URL de origen / User-Agent
Texto OCR
Las palabras en pantalla: incluye claves y datos internos
Ubicación EXIF
Dónde se tomó una foto: posiblemente su casa
IP de subida
Cuándo y desde qué conexión subió el archivo
Se soluciona al cambiarlo
- Su contraseña de Gyazo (se filtró su hash)
- Sesiones de inicio de sesión y tokens de integración (la empresa afirma que los ha invalidado o restringido)
- Contraseñas que reutilizó en otros servicios
No se soluciona hasta cambiarlo en su origen
- Claves de API, contraseñas, enlaces de invitación que aparecieron en capturas de pantalla
- Datos de clientes o documentos internos que aparecieron en capturas de pantalla
- Dónde se tomó una foto (una ubicación no se puede cambiar)
Qué deben hacer hoy los usuarios
Cambie su contraseña de Gyazo
Esta es la primera petición de la empresa. Lo que se filtró es un hash, no la contraseña en sí, pero el método de hash no se ha publicado y, como regla general, las contraseñas cortas o comunes son las más fáciles de recuperar (cómo funciona: qué es el hash de contraseñas). Cámbiela abriendo Gyazo usted mismo, no siguiendo un enlace de un correo electrónico.
Cámbiela en todos los servicios donde usó la misma contraseña o una similar
La empresa pide cambiar las contraseñas de otros servicios donde usó "la misma contraseña o una similar". "Similar" importa: una contraseña en la que solo cambian los dígitos finales cuenta como la misma. Un gestor de contraseñas es la forma práctica de encontrarlas.
Recuerde si una captura mostraba un secreto y, si es así, revóquelo
Los metadatos filtrados incluyen texto OCR, las palabras leídas de cada imagen. Si alguna vez compartió a través de Gyazo una pantalla de desarrollo, un panel de administración, una terminal o un archivo de configuración, revoque y vuelva a emitir en su origen cualquier clave de API, token, contraseña o enlace de invitación que mostrara. Los metadatos se describen como procedentes en su mayoría de imágenes subidas antes de enero de 2019, pero las claves de larga duración son justamente las que no han cambiado desde entonces. Cómo gestionar los secretos se explica en qué es peligroso en .env y las claves de API y en un caso en el que una clave de API filtrada generó cargos.
Compruebe si subió fotos con datos de ubicación y elimínelos a partir de ahora
La ubicación EXIF está entre los datos filtrados. Las fotos subidas directamente desde un teléfono pueden haber incluido el lugar donde se tomaron. Una ubicación no se puede cambiar, así que lo que sí puede hacer es cambiar la configuración a partir de ahora: desactive el etiquetado de ubicación en la cámara o elimine la ubicación antes de compartir (nociones básicas de seguridad en el smartphone).
Si vinculó X o inició sesión con Google, revise la conexión
Los tokens de integración de X (Twitter) y las direcciones de correo de inicio de sesión único de Google están entre los elementos. La empresa afirma que ha invalidado o restringido los datos de autenticación, pero sigue valiendo la pena abrir la lista de aplicaciones conectadas de X usted mismo y eliminar cualquier conexión que ya no use.
Espere correos de suplantación
Las direcciones de correo electrónico están entre los datos filtrados. Tras una filtración, suelen aparecer correos de "restablecer su contraseña" que se hacen pasar por el operador. No siga el enlace; abra el servicio usted mismo (qué es el phishing).
Para quienes gestionan una función de subida
Opinión de este sitio: lo detectaron el mismo día, pero seguían conservando datos antiguos
Desde el punto de vista de un defensor, este caso tiene una cosa que reconocer y otra que considerar.
Lo que merece reconocimiento es la rapidez en la detección. La intrusión ocurrió el 11 de septiembre y se detectó esa misma noche, se bloqueó en la madrugada del día siguiente y se hizo pública cinco días después. Entre los principales casos japoneses revelados ese mismo año, el tiempo entre la intrusión y el descubrimiento osciló entre 15 días y unos tres años (comparación de las cuatro grandes filtraciones japonesas de 2026). Aunque no se pueda impedir la entrada, cuanto antes se detecte, menor será el daño.
Lo que conviene considerar es que los metadatos filtrados se concentraban en imágenes de "principalmente antes de enero de 2019". El texto OCR, los datos de ubicación y las IP de subida de imágenes subidas hace años seguían ahí en el momento de este incidente.
Conservar las imágenes puede ser lo que los usuarios esperan de un servicio así, pero si los datos que las acompañan (IP y ubicaciones) deben conservarse durante el mismo tiempo es una cuestión distinta. Los datos que no se guardan no pueden filtrarse, y los datos de apoyo son donde más fácilmente puede acortarse la retención.
La causa indicada, la ejecución de comandos arbitrarios mediante una vulnerabilidad en el servidor de subida de imágenes, es un punto débil compartido por todos los servicios que aceptan archivos. El principio de diseño de aislar la parte que procesa los archivos recibidos del sistema principal y ejecutarla con privilegios mínimos se trata en vulnerabilidades en la subida de archivos; el término en sí, en qué es RCE.
Fuentes
Los datos anteriores proceden de los siguientes registros públicos. No se incluye ninguna especulación sobre la vulnerabilidad sin nombrar ni sobre los detalles de la intrusión.
- Helpfeel Inc., aviso y disculpa por la filtración de información causada por el acceso no autorizado a Gyazo (publicado el 16 de septiembre de 2026, en japonés) — corp.helpfeel.com
- Información de ITmedia NEWS y Mado no Mori (16 de septiembre de 2026), basada en el aviso anterior
Registro de actualizaciones
2026-09-19: Primera versión, basada en el aviso de Helpfeel del 16 de septiembre. La investigación forense de la empresa continúa, incluido el número de personas realmente afectadas y el posible alcance de daños secundarios; este artículo se actualizará a medida que se publiquen más detalles.
Lectura recomendada
- Los casos más relevantes del mismo año: comparación de las filtraciones de KDDI, Aflac, Digital Agency y Sakura Internet / la filtración de Times Car (imágenes de licencias de conducir) / la filtración de datos de socios de SourceNext (22.519.960 registros)
- Contraseñas: cómo elegir un gestor de contraseñas / cómo elegir la autenticación multifactor
- Gestión de secretos: qué es peligroso en .env y las claves de API / un caso de clave de API filtrada
- Para operadores: vulnerabilidades en la subida de archivos / qué es RCE