Celah Server Gyazo Dieksploitasi, 23,6 Juta Data Pengguna Dicuri

Platform berbagi gambar Gyazo mengonfirmasi mengalami kebocoran data setelah hacker mengeksploitasi kerentanan pada server yang memungkinkan mereka mengakses database dan mencuri sekitar 23,62 juta data pengguna.

Gyazo merupakan layanan berbasis cloud untuk mengambil screenshot dan merekam layar. Konten yang dibuat pengguna secara otomatis diunggah ke cloud dan diberikan tautan yang dapat dibagikan melalui chat, forum, media sosial, maupun platform lainnya.

Layanan yang dioperasikan oleh Helpfeel tersebut cukup populer di komunitas gaming. Gyazo mengklaim memiliki sekitar 23 juta pengguna di seluruh dunia yang telah mengunggah sekitar 3,1 miliar item media.

Serangan Terjadi pada 11 September 2026

Menurut keterangan Gyazo, insiden terjadi pada 11 September 2026. Penyerang berhasil mengeksploitasi kerentanan pada server dan memperoleh akses ke database platform.

Dari akses tersebut, hacker berhasil mendapatkan sekitar 23,62 juta record pengguna.

Gyazo mendeteksi aktivitas mencurigakan sehari kemudian, pada 12 September. Perusahaan kemudian memperbaiki vulnerability yang digunakan dalam serangan tersebut.

Namun, ketika kerentanan berhasil ditutup, data pengguna sudah terlanjur diakses dan dicuri.

Dalam penyelidikannya, Gyazo mengonfirmasi bahwa pihak ketiga telah mengakses database dan mengambil informasi pengguna serta metadata yang terkait dengan gambar yang diunggah tanpa otorisasi.

Gyazo Menonaktifkan Layanannya

Sebagai langkah pencegahan, Gyazo untuk sementara menonaktifkan layanannya dan menjalankan proses maintenance.

Perusahaan mengatakan penghentian layanan dilakukan sebagai tindakan preventif selama investigasi dan pemulihan berlangsung.

Gyazo juga bekerja sama dengan ahli eksternal untuk menyelidiki insiden tersebut dan telah menghubungi pihak berwenang.

Pengguna yang terdampak akan diberitahu secara langsung oleh perusahaan berdasarkan hasil investigasi.

Data Pengguna yang Terungkap

Jenis informasi yang terekspos berbeda-beda untuk setiap pengguna. Gyazo mengatakan data yang mungkin ikut terdampak mencakup:

• Nama atau nickname.
• Alamat email.
• Password hash.
• User ID dan device ID.
• Login session ID.
• X integration token.
• Alamat email yang digunakan untuk Google SSO.
• Informasi profil.
• Informasi subscription.
• Status billing.
• Statistik penggunaan.

Dataset yang dicuri juga mencakup record akun anonim. Namun, Gyazo belum mengungkapkan berapa persentase data yang termasuk dalam kategori tersebut.

Keberadaan password hash dan login session ID menjadi perhatian karena informasi tersebut dapat memiliki implikasi keamanan berbeda bergantung pada mekanisme perlindungan yang digunakan dan apakah kredensial tersebut dapat disalahgunakan.

Pengguna yang menggunakan password yang sama pada layanan lain juga menghadapi risiko tambahan apabila password tersebut digunakan kembali di platform berbeda.

490 Juta Metadata Gambar Ikut Terdampak

Selain data pengguna, insiden ini juga mengekspos sekitar 490 juta record metadata gambar.

Sebagian besar metadata tersebut berkaitan dengan gambar yang diunggah ke Gyazo sebelum Januari 2019.

Metadata yang terekspos dapat mencakup:

• Image ID.
• IP address saat upload.
• User-Agent.
• Data lokasi dari EXIF.
• Teks yang diekstrak melalui OCR.
• Judul gambar.
• Source URL.
• Passphrase yang telah di-hash untuk gambar private.

Salah satu aspek yang membuat metadata tersebut penting adalah image ID.

Gyazo menjelaskan bahwa image ID dapat digunakan untuk membentuk URL yang mengarah ke konten terkait. Karena itu, perusahaan untuk sementara menonaktifkan akses ke file yang record-nya diketahui ikut terekspos.

Gambar Private Berpotensi Telah Dilihat

Gyazo juga menemukan bahwa hacker memperoleh daftar yang mengidentifikasi gambar-gambar private.

Perusahaan mengatakan belum dapat mengesampingkan kemungkinan bahwa sebagian gambar private tersebut telah dilihat oleh penyerang.

Namun, investigasi yang dilakukan sejauh ini belum menemukan indikasi bahwa data atau gambar telah dihapus akibat insiden tersebut.

Dengan kata lain, berdasarkan temuan sementara perusahaan, tidak terdapat bukti bahwa penyerang melakukan penghapusan data setelah memperoleh akses.

Layanan Helpfeel Lain Tidak Terdampak

Helpfeel juga menyatakan tidak menemukan bukti bahwa data dari layanan Helpfeel dan Cosense lainnya ikut dicuri dalam insiden tersebut.

Investigasi masih dilakukan bersama pihak eksternal untuk menentukan cakupan insiden secara lebih lengkap.

Perusahaan juga telah melakukan koordinasi dengan otoritas terkait dan akan memberikan pemberitahuan langsung kepada pengguna yang terkena dampak.

Pengguna Gyazo Diminta Mengganti Password

Gyazo menyarankan seluruh pengguna untuk segera mengganti password akun Gyazo.

Pengguna juga disarankan mengganti password pada layanan lain apabila menggunakan kombinasi kredensial yang sama.

Langkah tersebut penting karena data yang terekspos mencakup password hash, sementara kredensial yang digunakan kembali pada beberapa layanan dapat meningkatkan dampak apabila salah satu akun berhasil diambil alih.

Pengguna juga perlu lebih waspada terhadap email, pesan, atau komunikasi lain yang mencurigakan setelah insiden ini.

Informasi seperti alamat email, nama, data profil, dan detail penggunaan dapat dimanfaatkan untuk membuat komunikasi phishing yang terlihat meyakinkan.

Kebocoran Tidak Hanya Berkaitan dengan Akun

Insiden Gyazo menunjukkan bahwa dampak kebocoran data pada layanan screenshot dan screen recording tidak terbatas pada informasi akun.

Metadata yang dikumpulkan platform juga dapat mengandung informasi sensitif, seperti alamat IP, data lokasi EXIF, teks hasil OCR, judul gambar, dan URL sumber.

Bahkan ketika pengguna menganggap sebuah screenshot hanya sebagai gambar biasa, metadata yang menyertainya dapat memberikan informasi tambahan mengenai perangkat, lokasi, waktu, maupun sumber konten.

Dengan sekitar 23,62 juta record pengguna dan 490 juta record metadata gambar yang terdampak, investigasi Gyazo akan menjadi penting untuk menentukan secara lebih rinci data mana yang benar-benar diakses dan apakah informasi tersebut kemudian disalahgunakan.

Untuk sementara, pengguna Gyazo disarankan mengganti password, tidak menggunakan kembali password yang sama di layanan lain, serta berhati-hati terhadap komunikasi yang mengatasnamakan Gyazo atau layanan terkait.

Sumber: Gyazo / Helpfeel