무슨 일이 있었나
스크린샷 도구 Gyazo를 운영하는 교토의 Helpfeel은 2026년 9월 11일 공격자가 이미지 업로드 서버의 취약점을 이용해 임의 명령을 실행하고 데이터베이스에 접근했다고 밝혔습니다. 당일 저녁 탐지했고 다음 날 아침까지 접근을 차단했습니다.
노출된 정보
9월 16일 공지에서 확인된 내용:
- 약 2362만 건의 사용자 기록: 이름 또는 닉네임, 이메일, 비밀번호 해시, 기기·세션 ID, X 연동 토큰
- 약 4억 9천만 건의 이미지 메타데이터(주로 2019년 1월 이전 업로드): 업로드 IP, EXIF 위치 정보, OCR로 추출한 텍스트, 이미지 URL 생성용 ID
마지막 항목 때문에 Helpfeel은 이미지 열람을 중단했습니다. 결제 정보는 포함되지 않았습니다.
9월 25일 업데이트에서는 약 1801만 건(약 76%)이 이메일 없는 익명 계정이며, 사용자가 이미 삭제한 이미지 약 1억 7400만 건의 메타데이터(주로 2023년 2월 이전)도 노출됐다고 추가했습니다. 삭제된 이미지 파일 자체는 유출되지 않았습니다. 취약점과 공격자는 공개되지 않았습니다.
왜 중요한가
데이터 보존 문제입니다. 사용자는 몇 년 전에 이미지를 지웠지만 위치와 이미지 텍스트를 포함한 메타데이터는 서버에 남아 있었습니다.
지금 할 일
- Gyazo 사용자는 비밀번호를 바꾸고 X 계정 설정에서 Gyazo 연동을 해제하세요.
- 기업은 내부 화면 캡처가 Gyazo로 올라갔는지 확인하세요. OCR 텍스트에 민감 정보가 있을 수 있습니다.
- 자체 정책을 점검해 "삭제" 시 메타데이터와 색인도 지워지게 하세요.