Helpfeel, l'azienda giapponese che gestisce il servizio di cattura schermo Gyazo, ha confermato una violazione dei dati che ha esposto circa 23,62 milioni di record utente e i metadati di 490 milioni di immagini. Il servizio è al momento sospeso per manutenzione preventiva.

Gyazo è uno di quegli strumenti che si installano in trenta secondi e non si disinstallano più: cattura una porzione di schermo, la carica automaticamente nel cloud e restituisce un link da incollare in una chat, in un ticket, in un forum. L'azienda dichiara oltre 23 milioni di utenti e 3,1 miliardi di contenuti caricati. È molto diffuso nelle community di videogiochi, ma è anche il modo più rapido che un dipendente conosce per mandare al collega la schermata di un errore.

Cosa è successo

L'accesso non autorizzato risale all'11 settembre 2026. Secondo la ricostruzione dell'azienda, gli attaccanti hanno sfruttato una vulnerabilità su un server di caricamento che consentiva l'esecuzione di comandi arbitrari, e da lì hanno raggiunto i sistemi di backend e il database. L'attività sospetta è stata rilevata in serata; nelle prime ore del 12 settembre Helpfeel ha bloccato le vie di accesso individuate, interrotto le connessioni dell'attaccante e corretto la vulnerabilità. I dati, a quel punto, erano già stati esfiltrati.

Il contenuto dei record utente varia da account ad account e può comprendere nomi e nickname, indirizzi email, hash delle password, identificativi di utente e di dispositivo, ID delle sessioni di login, token di integrazione con X, indirizzi email usati per il single sign-on Google, dettagli del profilo, informazioni sull'abbonamento, stato di fatturazione e statistiche d'uso.

La parte che merita più attenzione, però, è la seconda. I 490 milioni di record di metadati — in larga maggioranza relativi a immagini caricate prima di gennaio 2019 — includono gli ID delle immagini usati per costruire gli URL, gli indirizzi IP da cui è avvenuto il caricamento, le stringhe User-Agent, i dati EXIF di geolocalizzazione, i titoli, gli URL di origine, le passphrase con hash delle immagini private e il testo estratto tramite OCR dal contenuto delle immagini.

Helpfeel riconosce che gli ID immagine possono essere usati per ricostruire gli indirizzi e quindi raggiungere i contenuti corrispondenti, e per questo ha disabilitato temporaneamente l'accesso ai file coinvolti. Aggiunge inoltre che gli attaccanti hanno ottenuto anche l'elenco che identifica quali immagini sono private, e che non è possibile escludere che alcune siano state visualizzate. L'indagine non ha rilevato cancellazioni di dati, né evidenze di furto a carico degli altri servizi dell'azienda, Helpfeel e Cosense. Gli utenti vengono notificati direttamente, l'analisi prosegue con esperti esterni e le autorità sono state informate.

Cosa significa per le aziende italiane

Il problema aziendale non è Gyazo: è che cosa c'è dentro uno screenshot fatto al lavoro. Schermate di gestionali con anagrafiche clienti, ticket con dati di pazienti, configurazioni con nomi host e indirizzi interni, estratti di fogli di calcolo, conversazioni, e con una frequenza che sorprende solo chi non fa incident response, credenziali in chiaro o token dentro la barra degli indirizzi.

Il dettaglio che trasforma questa violazione da fastidiosa a seria è l'OCR. Nei metadati c'è il testo estratto dalle immagini: non serve accedere allo screenshot per sapere cosa vi è scritto. Chi possiede quei 490 milioni di record può fare ricerca full-text su quasi un decennio di schermate altrui, cercando il nome di un'azienda, un dominio di posta, la parola «password» o una sequenza che somigli a un IBAN. Un archivio di immagini diventa così un database interrogabile, e la selezione dei bersagli passa dall'essere un lavoro manuale a essere una query. Ci si aggiungano gli indirizzi IP di caricamento e i dati EXIF di posizione, che legano quelle schermate a una rete aziendale o a un'abitazione.

Va poi chiarito un equivoco: «privata» non significa inaccessibile. Gli attaccanti hanno l'elenco delle immagini private e le relative passphrase sotto forma di hash. Chi ha protetto un'immagine riservata con una passphrase breve o prevedibile deve considerarne il contenuto compromesso, indipendentemente da quanto dirà l'analisi definitiva.

Sul piano della governance, questo è shadow IT nella forma più difficile da controllare: gratuito, installabile senza privilegi amministrativi, utile davvero, e invisibile ai controlli di spesa perché non passa mai dall'ufficio acquisti. La domanda da porsi non è se l'azienda usi Gyazo — nessun responsabile IT lo ha mai autorizzato — ma se qualcuno fra i dipendenti lo usi. Nella maggior parte dei casi la risposta non è nota, ed è esattamente questo il punto.

La conseguenza sul GDPR è più concreta di quanto sembri. Se un dipendente ha caricato su Gyazo una schermata contenente dati personali trattati per conto dell'azienda, l'azienda resta titolare di quel trattamento. Helpfeel, in quello scenario, è un fornitore che nessuno ha designato responsabile ai sensi dell'articolo 28, con cui non esiste alcun accordo sul trattamento e di cui nessuno ha valutato le misure di sicurezza. Il trasferimento verso il Giappone è coperto da una decisione di adeguatezza della Commissione, il che attenua un profilo ma non l'altro: il dato è uscito attraverso un canale non autorizzato, e questa è una violazione a monte della violazione subita da Gyazo.

Sul termine di notifica vale la pena essere precisi, perché è un errore che si vede spesso. Le 72 ore dell'articolo 33 decorrono da quando il titolare viene a conoscenza della violazione, non dalla data dell'attacco. Un'azienda che scoprisse oggi che tre dipendenti usavano Gyazo per schermate di lavoro ha l'orologio che parte adesso. La valutazione richiede però di stabilire quali contenuti siano stati caricati e con quali dati: se non esiste alcun registro, la risposta onesta è «non lo sappiamo», e quella risposta è già di per sé un problema di accountability ai sensi dell'articolo 5, paragrafo 2.

Infine, la parte immediatamente sfruttabile del bottino: gli ID di sessione. Una sessione valida non chiede la MFA, perché l'autenticazione è già avvenuta. La sospensione del servizio decisa da Helpfeel di fatto le invalida, ma il principio vale in generale ed è il motivo per cui, in una violazione, cambiare la password senza revocare le sessioni attive serve a poco. E la combinazione fra email aziendali e account Gyazo è un ottimo punto di partenza per campagne di phishing mirate: è ragionevole aspettarsi nelle prossime settimane messaggi che invitano a «verificare l'account Gyazo».

Cosa fare subito

  • Cercare Gyazo nel parco macchine prima di ogni altra cosa: presenza dell'applicazione desktop, dell'estensione del browser, e traffico verso gyazo.com nei log del proxy o del resolver DNS. Sapere chi lo usa è la precondizione di qualsiasi valutazione successiva.
  • Chiedere a chi lo usa se ha caricato materiale di lavoro, e farlo senza toni punitivi: se la domanda suona come un'accusa, la risposta sarà «no» a prescindere, ed è l'unica risposta che non serve a nulla.
  • Cambiare la password di Gyazo e, soprattutto, cambiarla ovunque sia stata riutilizzata. È la raccomandazione esplicita dell'azienda, e con hash di password nel bottino è il rischio più prevedibile.
  • Revocare l'integrazione con X dalle impostazioni dell'account X e controllare le applicazioni di terze parti collegate all'account Google.
  • Se Gyazo era collegato tramite SSO con un account Google Workspace aziendale, revocare il consenso dell'applicazione dalla console di amministrazione: è l'unico modo per essere certi che il collegamento non resti attivo.
  • Trattare come compromesso il contenuto delle immagini private protette da passphrase deboli, senza attendere conferme.
  • Se emerge che sono state caricate schermate con dati personali, avviare la valutazione ai sensi degli articoli 33 e 34: categorie di dati, numero approssimativo di interessati, rischi per i diritti e le libertà. La decisione di non notificare va motivata e verbalizzata, non semplicemente presa.
  • Allertare gli utenti su possibili messaggi di phishing che sfruttano il nome Gyazo e la notizia della violazione.
  • Sul piano strutturale, definire uno strumento aziendale per catturare e condividere schermate — esiste già in Microsoft 365, in Google Workspace e in qualsiasi sistema di ticketing — e limitare i caricamenti verso servizi non approvati con DLP o filtro di navigazione. Vietare senza offrire un'alternativa altrettanto comoda non funziona: le persone usano Gyazo perché è veloce.

La lezione operativa non riguarda un servizio giapponese di screenshot. Riguarda il fatto che l'inventario dei fornitori di un'azienda, quello che finisce nel registro dei trattamenti e nelle valutazioni del rischio, descrive i sistemi che l'azienda ha scelto. I dati, nel frattempo, viaggiano anche attraverso quelli che hanno scelto i dipendenti, uno screenshot alla volta.