Chuyện gì đã xảy ra
Helpfeel, công ty ở Kyoto đứng sau công cụ chụp màn hình Gyazo, cho biết ngày 11/9/2026 kẻ tấn công khai thác lỗ hổng trong máy chủ tải ảnh lên, chạy lệnh tùy ý và truy cập cơ sở dữ liệu. Hoạt động bị phát hiện tối hôm đó và quyền truy cập bị cắt vào sáng hôm sau.
Dữ liệu bị lộ
Thông báo ngày 16/9 xác nhận:
- khoảng 23,62 triệu bản ghi người dùng: tên hoặc biệt danh, email, mã băm mật khẩu, ID thiết bị và phiên, token tích hợp X;
- khoảng 490 triệu bản ghi siêu dữ liệu ảnh, chủ yếu ảnh tải lên trước tháng 1/2019: IP tải lên, vị trí EXIF, văn bản OCR và ID dùng để tạo URL ảnh.
Vì mục cuối, Helpfeel tạm dừng xem ảnh. Dữ liệu thanh toán không bị ảnh hưởng.
Bản cập nhật ngày 25/9 cho biết khoảng 18,01 triệu bản ghi (~76%) là tài khoản ẩn danh không có email, và siêu dữ liệu của khoảng 174 triệu ảnh người dùng đã xóa cũng bị lộ. Bản thân các tệp đã xóa không bị lộ.
Vì sao quan trọng
Đây là vấn đề lưu giữ dữ liệu: người dùng xóa ảnh từ nhiều năm trước nhưng siêu dữ liệu vẫn nằm trên máy chủ.
Nên làm gì
- Người dùng Gyazo: đổi mật khẩu và thu hồi tích hợp X.
- Doanh nghiệp: kiểm tra ảnh chụp màn hình nội bộ có từng tải lên Gyazo không.
- Đảm bảo "xóa" cũng xóa siêu dữ liệu và chỉ mục.