Ano ang nangyari
Sinabi ng Helpfeel, ang kumpanya sa Kyoto na may-ari ng screenshot tool na Gyazo, na noong Setyembre 11, 2026 inabuso ng isang attacker ang vulnerability sa image upload server, nagpatakbo ng arbitrary commands at naabot ang database. Natuklasan ito nang gabing iyon at naputol ang access kinaumagahan.
Ano ang nalantad
Sa abiso noong Setyembre 16, kinumpirma ng kumpanya:
- mga 23.62 milyong user record: pangalan o palayaw, email, password hash, device at session ID at X integration token;
- mga 490 milyong image metadata record, karamihan para sa larawang na-upload hanggang Enero 2019: upload IP, EXIF location, OCR text at mga ID na ginagamit sa URL ng larawan.
Dahil sa huling item, pansamantalang itinigil ng Helpfeel ang pagtingin sa mga larawan. Walang payment data na nalantad.
Idinagdag ng update noong Setyembre 25 na mga 18.01 milyon (~76%) ay anonymous account na walang email, at nalantad din ang metadata ng mga 174 milyong larawang binura na ng mga user. Hindi nag-leak ang mismong mga binurang file.
Bakit mahalaga
Problema ito ng data retention: binura ng user ang larawan ilang taon na ang nakalipas, pero naiwan ang metadata sa server.
Ano ang gagawin
- Mga user ng Gyazo: palitan ang password at i-revoke ang X integration.
- Mga kumpanya: alamin kung na-upload sa Gyazo ang mga internal na screenshot.
- Siguraduhing binubura rin ng "delete" ang metadata at index.