Um serviço de capturas de ecrã perdeu 23 milhões de contas e as ligações para 490 milhões de imagens

Pare um momento a pensar no que está mesmo nas suas capturas de ecrã. Uma confirmação de encomenda. Uma conversa. Um saldo bancário que estava a mostrar a um familiar. Metade de um e-mail.

O Gyazo, a ferramenta de capturas e partilha de imagens gerida pela empresa de Quioto Helpfeel, foi invadido a 11 de setembro. Um atacante encontrou uma falha no servidor de carregamento de imagens que lhe permitia executar comandos ali e, a partir daí, chegou à base de dados. A Helpfeel detetou a intrusão nessa mesma noite, cortou o acesso e tapou a falha na madrugada de 12 de setembro, comunicou às autoridades a 15 e ao público a 16. Saíram cerca de 23,62 milhões de registos de utilizador: nomes ou alcunhas, endereços de e-mail, palavras-passe sob a forma de hash, identificadores de utilizador e de dispositivo, identificadores de sessão, tokens de integração com o X, endereços de início de sessão da Google e o estado da subscrição e da faturação. Não havia números de cartão.

O número maior é o que ninguém põe no título. Também foram levados os metadados de cerca de 490 milhões de imagens, e entre eles está a informação usada para construir o URL de uma imagem. Ali constam ainda o endereço IP de onde veio o carregamento, os dados de localização EXIF e o texto de OCR, ou seja, a leitura que o próprio Gyazo fazia das palavras presentes nas suas imagens. A maior parte é anterior a janeiro de 2019, quando se colavam capturas de ecrã por todo o lado com bastante menos cuidado do que hoje.

A Helpfeel pede a todos que mudem a palavra-passe do Gyazo e, sobretudo, que a mudem onde quer que a tenham reutilizado. É essa segunda parte que conta mesmo numa fuga destas. Se tem uma ideia aproximada de que contas partilham uma palavra-passe mas nenhuma lista a sério, a verificação de privacidade e contas do Tendvane mostra-lhe pelo menos que contas estão com sessão iniciada no seu PC, para começar por aí.