Un servicio de capturas de pantalla ha perdido 23 millones de cuentas y los enlaces a 490 millones de imágenes

Párese un momento a pensar en lo que aparece de verdad en sus capturas de pantalla. Una confirmación de pedido. Una conversación. Un saldo bancario que le estaba enseñando a un familiar. Medio correo.

Gyazo, la herramienta de capturas y de compartir imágenes que gestiona la empresa de Kioto Helpfeel, fue asaltada el 11 de septiembre. Un atacante encontró un fallo en el servidor de subida de imágenes que le permitía ejecutar comandos allí, y desde ahí llegó a la base de datos. Helpfeel detectó la intrusión esa misma tarde, cortó el acceso y tapó el agujero en la madrugada del 12 de septiembre, lo comunicó a las autoridades el 15 y al público el 16. Salieron unos 23,62 millones de registros de usuario: nombres o apodos, direcciones de correo, contraseñas en forma de hash, identificadores de usuario y de dispositivo, identificadores de sesión, tokens de integración con X, direcciones de acceso de Google y el estado de la suscripción y la facturación. No había números de tarjeta.

La cifra grande es la que nadie pone en el titular. También se llevaron los metadatos de unos 490 millones de imágenes, y entre ellos está la información con la que se construye la URL de una imagen. Ahí figuran además la dirección IP desde la que se subió, los datos de ubicación EXIF y el texto del OCR, es decir, la lectura que el propio Gyazo hacía de las palabras que aparecían en sus imágenes. La mayor parte es anterior a enero de 2019, cuando la gente pegaba capturas por todas partes con bastante menos cuidado que ahora.

Helpfeel pide a todos que cambien su contraseña de Gyazo y, sobre todo, que la cambien allí donde la hayan reutilizado. Esa segunda parte es lo que de verdad importa en una fuga así. Si tiene una idea aproximada de qué cuentas comparten contraseña pero ninguna lista real, la comprobación de privacidad y cuentas de Tendvane le mostrará al menos qué cuentas hay iniciadas en su PC para empezar por ahí.