Para quem é este artigo: qualquer pessoa que já usou o Gyazo e quem administra um recurso de upload de imagens ou arquivos. Este artigo se baseia no comunicado oficial da operadora e não contém técnicas de ataque.
O que aconteceu (segundo a Helpfeel)
Em 16 de setembro de 2026, a Helpfeel Inc. anunciou um vazamento de dados causado por acesso não autorizado ao seu serviço de compartilhamento de imagens Gyazo. Tudo o que está abaixo vem do comunicado oficial da empresa.
11 set 2026
Um terceiro explorou uma vulnerabilidade no servidor de upload de imagens do Gyazo e executou comandos arbitrários nos sistemas da empresa. Comportamento suspeito foi detectado naquela mesma noite, e a investigação e a resposta começaram.Madrugada de 12 set
Caminhos de invasão bloqueados e as conexões não autorizadas do terceiro foram cortadas.14 set
O vazamento foi confirmado e medidas preventivas foram tomadas.15 set
Novas medidas contra danos secundários. A entrega foi retomada para imagens enviadas após a correção. Comunicado à Personal Information Protection Commission.16 set
O escopo e o impacto confirmados foram divulgados. Uma investigação forense por um especialista externo continua.
- Registros de usuários, ~23,62 mi
- Nome de exibição (qualquer nome ou apelido), endereço de e-mail, hash da senha, ID do usuário, ID do dispositivo, ID da sessão de login, token de integração com o X (Twitter) (se vinculado), e-mail do SSO do Google (se vinculado), dados de perfil, idioma, datas de cadastro e último login, plano, status de cobrança, estatísticas de uso. Quais itens se aplicam varia de usuário para usuário
- Metadados de imagens
- ID da imagem, endereço IP de envio, User-Agent, localização EXIF, texto OCR da imagem, título, URL de origem, frases-senha com hash de imagens privadas
- As imagens em si
- Nenhuma perda de dados de imagem confirmada. Mas a empresa "não pode descartar totalmente que algumas imagens privadas tenham sido visualizadas por terceiros"
- Dados de pagamento
- Números de cartão e outros dados de pagamento não foram vazados, confirma a empresa
- Dados de autenticação
- Após analisar como cada item funciona e como poderia ser usado indevidamente, a empresa diz que já invalidou ou restringiu o que era necessário
- Causa
- Uma vulnerabilidade no servidor de upload de imagens — agora corrigida, com todos os caminhos usados na invasão bloqueados. A vulnerabilidade específica não foi nomeada
Como interpretar: 23,62 milhões não é número de pessoas, e 490 milhões não são imagens
O número de cerca de 23,62 milhões inclui contas anônimas sem endereço de e-mail cadastrado; a empresa diz que o número de pessoas cujos dados pessoais realmente vazaram ainda está sob investigação. O número de cerca de 490 milhões conta registros de informações sobre imagens (metadados), não arquivos de imagem.
Nenhum dos dois significa "nada com que se preocupar". Como mostra a próxima seção, o conteúdo desses metadados é um risco fácil de passar despercebido.
O que a informação sobre uma imagem revela
Uma imagem enviada
ID da imagem / título / URL de origem / User-Agent
Texto OCR
As palavras na tela — inclusive chaves e dados internos
Localização EXIF
Onde a foto foi tirada — possivelmente sua casa
IP de envio
Quando e a partir de qual conexão você enviou
Resolvido ao trocar
- Sua senha do Gyazo (seu hash vazou)
- Sessões de login e tokens de integração (a empresa diz que os invalidou ou restringiu)
- Senhas reutilizadas em outros serviços
Não resolvido até você trocar na origem
- Chaves de API, senhas, links de convite que apareceram em capturas de tela
- Dados de clientes ou documentos internos que apareceram em capturas de tela
- Onde uma foto foi tirada (uma localização não pode ser alterada)
O que os usuários devem fazer hoje
Troque sua senha do Gyazo
Este é o primeiro pedido da empresa. O que vazou é um hash, não a senha em si, mas o método de hash não foi publicado e, como regra geral, senhas curtas ou comuns são as mais fáceis de recuperar (como funciona: o que é hash de senha). Troque-a abrindo o Gyazo por conta própria, não seguindo um link em e-mail.
Troque em todos os serviços onde usou a mesma senha — ou uma parecida
A empresa pede que você troque as senhas em outros serviços onde usou "a mesma senha ou uma senha parecida". "Parecida" importa: uma senha em que só os dígitos finais foram alterados conta como a mesma. Um gerenciador de senhas é a forma prática de encontrá-las.
Lembre se uma captura de tela mostrou um segredo — e, se sim, revogue-o
Os metadados vazados incluem texto OCR, as palavras lidas de cada imagem. Se você já compartilhou por meio do Gyazo uma tela de desenvolvimento, painel administrativo, terminal ou arquivo de configuração, revogue e emita novamente na origem qualquer chave de API, token, senha ou link de convite que ela mostrava. Os metadados são descritos como provenientes em sua maioria de imagens enviadas antes de janeiro de 2019 — mas chaves de longa duração são justamente as que não mudaram desde então. Como lidar com segredos está em o que é perigoso em .env e chaves de API e um caso em que uma chave de API vazada gerou cobranças.
Verifique se você enviou fotos com dados de localização e remova-os daqui para frente
A localização EXIF está entre os itens vazados. Fotos enviadas diretamente de um celular podem conter o local onde foram tiradas. Uma localização não pode ser alterada, então o que você pode fazer é mudar as configurações futuras: desative a marcação de localização na câmera ou remova a localização antes de compartilhar (noções básicas de segurança em smartphones).
Se você vinculou o X ou entrou com o Google, revise a conexão
Tokens de integração com o X (Twitter) e endereços de e-mail do SSO do Google estão entre os itens. A empresa diz que invalidou ou restringiu os dados de autenticação, mas ainda vale a pena abrir a lista de aplicativos conectados do X e remover qualquer conexão que você não usa mais.
Espere e-mails de falsificação
Endereços de e-mail estão entre os itens vazados. Após um vazamento, costumam surgir e-mails de "redefinição de senha" que se passam pela operadora. Não siga o link; acesse o serviço por conta própria (o que é phishing).
Para quem administra um recurso de upload
Visão deste site: eles perceberam no mesmo dia — e ainda mantinham dados antigos
Do ponto de vista de quem defende sistemas, este caso tem uma coisa a reconhecer e uma coisa a considerar.
O que se deve reconhecer é a velocidade da detecção. A invasão ocorreu em 11 de setembro e foi detectada naquela noite, bloqueada na madrugada do dia seguinte e divulgada cinco dias depois. Entre os principais casos japoneses divulgados no mesmo ano, o tempo entre a invasão e a descoberta variou de 15 dias a cerca de três anos (comparando os quatro grandes vazamentos japoneses de 2026). Mesmo quando a entrada não pode ser impedida, quanto antes você perceber, menor é o dano.
O que se deve considerar é que os metadados vazados estavam concentrados em imagens "em sua maioria anteriores a janeiro de 2019". Texto OCR, dados de localização e IPs de envio de imagens enviadas anos atrás ainda estavam presentes na época deste incidente.
Manter as imagens pode ser o que os usuários esperam de um serviço assim, mas se os dados que as cercam (IPs e localizações) precisam ser mantidos pelo mesmo tempo é outra questão. Dados que você não possui não podem vazar, e os dados de apoio são onde a retenção pode ser encurtada com mais facilidade.
A causa declarada, execução de comandos arbitrários por meio de uma vulnerabilidade no servidor de upload de imagens, é um ponto fraco comum a todo serviço que aceita envios. O princípio de projeto de isolar a parte que processa arquivos recebidos do sistema principal e executá-la com privilégios mínimos está em vulnerabilidades de upload de arquivos; o termo em si, em o que é RCE.
Fontes
Os fatos acima vêm dos seguintes registros públicos. Nenhuma especulação sobre a vulnerabilidade não nomeada ou os detalhes da invasão.
- Helpfeel Inc., comunicado e pedido de desculpas sobre o vazamento de informações causado por acesso não autorizado ao Gyazo (publicado em 16 de setembro de 2026, em japonês) — corp.helpfeel.com
- Reportagens de ITmedia NEWS e Mado no Mori (16 de setembro de 2026), com base no comunicado acima
Registro de atualizações
2026-09-19: Primeira versão, com base no comunicado da Helpfeel de 16 de setembro. A investigação forense da empresa continua, incluindo o número de pessoas efetivamente afetadas e o potencial de danos secundários; este artigo será atualizado conforme os detalhes forem divulgados.
Leia em seguida
- Os principais casos do mesmo ano: comparando os vazamentos da KDDI, Aflac, Digital Agency e Sakura Internet / o vazamento da Times Car (imagens de carteira de motorista) / o vazamento de dados de membros da SourceNext (22.519.960 registros)
- Senhas: como escolher um gerenciador de senhas / como escolher a autenticação multifator
- Manuseio de segredos: o que é perigoso em .env e chaves de API / um caso de vazamento de chave de API
- Para operadores: vulnerabilidades de upload de arquivos / o que é RCE