Gyazo perdió el control
El servicio para compartir imágenes Gyazo se ha visto en el centro de una importante filtración de datos. Su operador, la empresa japonesa Helpfeel, informó de un ciberataque en el que los atacantes accedieron a 23,62 millones de registros de usuarios y a unos 490 millones de registros con metadatos de imágenes.
Helpfeel trabaja en el ámbito de la atención al cliente y las bases de conocimiento corporativas. La empresa integra un centro de ayuda, búsqueda inteligente y un agente de soporte con IA; su ecosistema incluye Gyazo, un servicio para subir y compartir imágenes. La organización cuenta con más de 200 empleados.
El ataque tuvo lugar el 11 de septiembre. Un atacante desconocido aprovechó una vulnerabilidad, cargó un programa malicioso en los servidores, accedió a la infraestructura y pudo ejecutar comandos arbitrarios en ella. Dicho de otro modo, el servidor dejó de ser un espacio vigilado y se convirtió temporalmente en el ordenador del atacante.
La investigación reveló que quedaron comprometidos 23,62 millones de registros. Eso no significa que se vieran afectadas 23,62 millones de personas: varios registros podían corresponder a un mismo usuario y algunos datos los generaban clientes sin cuenta. Por eso aún se desconoce el número exacto de afectados y, según la empresa, es seguro que es inferior a 23,6 millones.
Entre los datos filtrados podría haber nombres, direcciones de correo electrónico, hashes de contraseñas, identificadores de usuarios y dispositivos, identificadores de sesiones de inicio de sesión, tokens de integración con X, direcciones asociadas a la autenticación mediante Google SSO, datos de perfil, ajustes de idioma, fechas y horas de registro e inicio de sesión, plan de suscripción, estado del pago y estadísticas de uso. Según Helpfeel, no quedaron expuestos números de tarjetas bancarias ni otros datos de pago.
El alcance del problema también se aprecia en las imágenes. Se vieron comprometidos unos 490 millones de registros vinculados a imágenes registradas en enero de 2019 o antes. Contenían identificadores de imágenes, direcciones IP desde las que se habían subido, datos de user-agent, geolocalización extraída de EXIF, texto reconocido en las imágenes, nombres, URL originales y frases de código cifradas mediante hash para imágenes privadas.
Parte de esos metadatos se utiliza para generar las direcciones de las imágenes. Por eso Helpfeel no descarta que los atacantes pudieran ver también los propios archivos y no solo sus datos técnicos. La empresa ha desactivado temporalmente la visualización de algunas imágenes para reducir el riesgo de que se produzcan más daños y sigue investigando. Aún no se ha podido descartar que terceros hayan visto algunas imágenes privadas.
La información del ataque se publicó en un aviso de compromiso de datos. The Hacker News ya había informado anteriormente del incidente.
PEREC.RU
Lo de Gyazo no es simplemente otra filtración en la que un comunicado presume de millones de registros mientras se espera que el usuario finja que las cifras no significan nada. La empresa japonesa Helpfeel, propietaria del servicio para compartir imágenes, reconoció un ciberataque después de que un desconocido aprovechara una vulnerabilidad el 11 de septiembre, cargara un programa malicioso en los servidores y consiguiera ejecutar comandos arbitrarios.
El resultado es considerable incluso para un sector acostumbrado a medir las desgracias ajenas en millones. Se han comprometido 23,62 millones de registros de usuarios. Eso sí: no son 23,62 millones de personas distintas. Un usuario podía generar varios registros y algunos datos procedían de clientes sin cuenta. Aún no se sabe cuántas personas están afectadas, aunque seguro que son menos de 23,6 millones: al menos la aritmética sigue siendo un pequeño refugio de orden.
Quedaron expuestos nombres, direcciones de correo electrónico, hashes de contraseñas, identificadores de usuarios y dispositivos, identificadores de sesiones, tokens de integración con X, datos relacionados con Google SSO, información de perfil, preferencias de idioma, fechas de registro e inicio de sesión, datos del plan, estado del pago y estadísticas de uso. Helpfeel aseguró expresamente que no se filtraron números de tarjetas bancarias ni otros datos de pago.
Pero la gran sorpresa no fueron solo los datos de usuarios. Los atacantes accedieron a unos 490 millones de registros vinculados a imágenes subidas en enero de 2019 o antes. Los metadatos incluían identificadores de imágenes, IP desde las que se subieron, datos de user-agent, geolocalización extraída de EXIF, texto reconocido en las imágenes, nombres, URL originales y frases de código con hash para las imágenes privadas.
El problema es que algunos metadatos intervienen en la generación de las direcciones de los archivos. Por eso la empresa no puede descartar que los atacantes vieran las propias imágenes, incluidas las privadas. Helpfeel ha desactivado temporalmente la visualización de algunos archivos para evitar más daños y sigue investigando.
La empresa trabaja en atención al cliente y bases de conocimiento, y también desarrolla búsqueda inteligente y un agente de soporte con IA. Helpfeel tiene más de 200 empleados. La noticia del ataque apareció en un aviso de compromiso de datos y también fue publicada por The Hacker News.
En resumen: según la versión oficial, los datos de pago se han salvado, pero quedan en riesgo credenciales, identificadores técnicos y un enorme volumen de información sobre imágenes. La higiene digital ha vuelto a perder, y los servidores han vuelto a descubrir que una contraseña y la esperanza de que «a nosotros no nos van a hackear» no son lo mismo.
