Vazamento Crítico no Gyazo Expõe Milhões de Dados de Usuários e Metadados de Imagens

Mais um incidente grave atinge uma plataforma de larga escala: o Gyazo, serviço popular de compartilhamento de imagens, sofreu um vazamento crítico que expôs milhões de registros de usuários e metadados de imagens. A falha explorada foi uma vulnerabilidade no servidor de upload da plataforma, que permitiu a execução de comandos remotos e o acesso indevido ao banco de dados. Este tipo de ataque, que combina uma brecha no upload com a capacidade de executar código no servidor, é um vetor clássico e de alto risco para sistemas web.

Entre os dados comprometidos, estão 23,62 milhões de registros de usuários, incluindo hashes de senhas, IDs de sessão e tokens de integração (como os do X/Twitter). Mas a situação se agrava com a exposição de 490 milhões de registros de metadados de imagens, principalmente anteriores a janeiro de 2019. Isso inclui IDs de imagens, que são a base dos links de acesso, endereços IP de upload, dados de localização EXIF, texto extraído por OCR e até frases-chave para imagens privadas. Para quem usava o recurso de OCR, ter esse texto exposto pode ser um prato cheio para atacantes. Este incidente no Gyazo se soma a uma série de outros vazamentos recentes, como os da Sakura Internet em agosto de 2026 e da Agência Digital do Japão em setembro de 2026, ambos envolvendo empresas japonesas, e que o CEVIU News cobriu.

Este vazamento é particularmente preocupante por várias razões. Primeiro, a exposição de hashes de senhas e tokens de integração abre caminho para ataques de credenciais e potencial acesso a outras contas dos usuários. Segundo, a falha em uma plataforma de compartilhamento de imagens expõe não só dados cadastrais, mas também o conteúdo visual. Embora o Gyazo afirme que o link é a única proteção para imagens padrão, a divulgação em massa desses IDs desvirtua essa premissa de segurança por obscuridade.

A revelação de metadados como IPs de upload, dados EXIF (que podem conter geolocalização) e o texto extraído via OCR levanta sérias questões de privacidade. Para usuários que armazenavam informações sensíveis em capturas de tela ou confiavam na privacidade de imagens “somente para mim”, o risco de exposição é real e impactante. Empresas que utilizam essas plataformas para comunicação interna ou compartilhamento de dados devem reavaliar seus riscos e implementar controles mais rigorosos.