Una brecha de seguridad en Gyazo expone 23,62 millones de registros de usuarios y 490 millones de registros de metadatos de imágenes.

Una brecha de seguridad en Gyazo, el servicio de intercambio de imágenes de Helpfeel, expuso alrededor de 23,62 millones de registros de usuarios —incluyendo direcciones de correo electrónico y hashes de contraseñas—, según informó la empresa con sede en Kioto en un comunicado publicado el miércoles.

También se expusieron cerca de 490 millones de registros de metadatos de imágenes (en su mayoría correspondientes a imágenes de enero de 2019 o anteriores), incluidos los identificadores que conforman los enlaces de las imágenes de Gyazo.

Helpfeel señaló que dichos identificadores podrían utilizarse para visualizar las imágenes sin autorización y que ha desactivado temporalmente la visualización de algunas de ellas.

La empresa solicitó a todos los usuarios de Gyazo que cambien su contraseña, así como la de cualquier otro servicio donde utilicen la misma o una similar. Asimismo, pidió a los usuarios que estén atentos a posibles correos electrónicos o mensajes sospechosos relacionados con el incidente.

El atacante obtuvo acceso a través de una vulnerabilidad en el servidor de carga de imágenes de Gyazo, ejecutó comandos arbitrarios en los sistemas de Helpfeel y accedió a la base de datos de Gyazo, según indicó la compañía. No se ha especificado qué tipo de fallo se trataba.

Helpfeel afirmó que no se expuso información de pago, incluidos números de tarjeta de crédito. Los registros de usuario expuestos pueden contener los siguientes datos (los campos presentes varían según el usuario):

• Nombre (cualquier texto introducido por el usuario, como un nombre real o un apodo)
• Dirección de correo electrónico
• Hash de la contraseña
• ID de usuario
• ID del dispositivo
• ID de sesión de inicio de sesión
• Token de integración con X (anteriormente Twitter), si la cuenta estaba vinculada
• Dirección de correo electrónico utilizada para el inicio de sesión único (SSO) de Google, si estaba vinculada
• Información del perfil
• Preferencia de idioma
• Fecha y hora de registro
• Fecha y hora del último inicio de sesión
• Plan de suscripción
• Estado de facturación (sin números de tarjeta de crédito ni otros detalles de pago)
• Estadísticas de uso

La cifra de 23,62 millones se refiere al número de registros. Helpfeel aclaró que esta cifra incluye cuentas anónimas sin dirección de correo electrónico registrada y que aún están determinando cuántas personas vieron expuesta su información personal.