Apa yang berlaku
Helpfeel, syarikat Kyoto di sebalik alat tangkapan skrin Gyazo, berkata pada 11 September 2026 penyerang mengeksploitasi kelemahan dalam pelayan muat naik imej, menjalankan arahan sewenang-wenangnya dan mencapai pangkalan datanya. Aktiviti dikesan pada petang itu dan akses diputuskan pagi esoknya.
Apa yang terdedah
Dalam notis 16 September, syarikat mengesahkan:
- kira-kira 23.62 juta rekod pengguna: nama atau nama samaran, e-mel, hash kata laluan, ID peranti dan sesi serta token integrasi X;
- kira-kira 490 juta rekod metadata imej, kebanyakannya bagi imej dimuat naik hingga Januari 2019: IP muat naik, lokasi EXIF, teks OCR dan ID untuk membina URL imej.
Kerana item terakhir, Helpfeel menghentikan paparan imej. Tiada data pembayaran terdedah.
Kemas kini 25 September menambah bahawa kira-kira 18.01 juta rekod (~76%) milik akaun tanpa nama tanpa e-mel, dan metadata kira-kira 174 juta imej yang telah dipadam pengguna juga terdedah. Fail yang dipadam itu sendiri tidak bocor.
Mengapa penting
Ini masalah pengekalan data: pengguna memadam imej bertahun-tahun lalu, tetapi metadata masih berada di pelayan.
Apa yang perlu dilakukan
- Pengguna Gyazo: tukar kata laluan dan batalkan integrasi X.
- Syarikat: semak sama ada tangkapan skrin dalaman dimuat naik ke Gyazo.
- Pastikan "padam" turut memadam metadata dan indeks.