发生了什么
截图工具 Gyazo 的运营方、京都公司 Helpfeel 表示,2026年9月11日,攻击者利用其 图片上传服务器 的漏洞执行任意命令并进入数据库。公司当晚发现异常,并于次日早上切断访问。
泄露了什么
在 9月16日 的通知中,公司确认:
- 约 2362万条用户记录:姓名或昵称、电子邮箱、密码哈希、设备和会话ID,以及 X集成令牌;
- 约 4.9亿条图片元数据,主要是2019年1月前上传的图片:上传IP、EXIF位置信息、OCR提取的文字,以及用于生成图片URL的ID。
由于最后一项,Helpfeel暂停了图片查看功能。支付数据未受影响。
9月25日 的更新补充:约 1801万条(约76%)属于没有邮箱的匿名账户;此外,约 1.74亿张用户早已删除的图片 的元数据(多为2023年2月前)也被泄露,但被删除的图片文件本身没有外泄。漏洞细节和攻击者尚未公开。
为什么重要
这是 数据保留 问题:用户多年前就删除了图片,但包括位置和图片文字在内的元数据仍留在服务器上。
现在该做什么
- Gyazo用户应修改密码,并在X账户设置中 撤销Gyazo授权。
- 企业应检查内部截图是否上传过Gyazo,OCR文字可能包含敏感信息。
- 审视自身策略:"删除"必须同时删除元数据和索引。